多级反向代理路径错乱的核心在于各层proxypass路径拼接逻辑不一致，修复关键是每级明确剥离与保留的路径段；需严格匹配斜杠、配对使用proxypassreverse、逐层透传host和x-forwarded-for、并为websocket单独启用proxy_wstunnel及独立配置。
多级反向代理路径错乱，核心问题出在每级 proxypass 的路径拼接逻辑不一致，导致请求路径被重复追加、意外截断或生成内网地址。修复关键不是“统一加斜杠”，而是让每一跳都明确知道“该剥离什么、该保留什么”。
路径结尾斜杠必须两端严格匹配
Apache 对 /app/ 和 /app 的处理完全不同：
- 写成
ProxyPass /app/ http://192.168.10.5:8080/：匹配到/app/health时，会剥离/app/，只把health拼到目标后，最终请求http://192.168.10.5:8080/health - 写成
ProxyPass /app/ http://192.168.10.5:8080（末尾缺/）：同样请求/app/health，会原样追加为http://192.168.10.5:8080/app/health，后端通常 404
所有中间跳板机也必须遵守这一规则。例如第二级代理转发 /backend/ 到 http://10.0.3.12:3000/api，必须写成：ProxyPass /backend/ http://10.0.3.12:3000/api/（目标 URL 末尾也要带 /）
每级都配对使用 ProxyPassReverse
仅第一级配置 ProxyPassReverse 不够，后端返回的 Location: http://10.0.3.12:3000/api/login 这类重定向，在第二级代理处仍需修正。否则用户会被跳转到内网地址。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 第一级（公网入口）：
ProxyPassReverse /app/ http://192.168.10.5:8080/ - 第二级（跳板机）：
ProxyPassReverse /backend/ http://10.0.3.12:3000/api/ - 两者路径前缀、协议、主机、端口必须和后端实际返回的
Location完全一致，建议用curl -v抓真实响应头来写配置
透传 Host 和客户端 IP 要逐层叠加
Host 头决定后端生成链接的域名基础，X-Forwarded-For 决定日志和鉴权的真实来源。多级链路中不能只靠 ProxyPreserveHost On ——它只保 Host，不保 IP。
- 每级都加：
ProxyPreserveHost On - 第一级写：
RequestHeader set X-Forwarded-For %{REMOTE_ADDR}e - 后续各级改用：
RequestHeader edit X-Forwarded-For ^(.*)$ $1,%{REMOTE_ADDR}e（拼接，不覆盖） - 后端必须取
X-Forwarded-For最左边的 IP，并只信任你控制的跳板机 IP 段
WebSocket 路径必须单独声明且启用隧道模块
普通 ProxyPass 不处理 Upgrade: websocket 请求，任何一级未显式支持，就会断连或降级轮询。
- 所有参与代理的节点都执行：
a2enmod proxy_wstunnel - 为 WebSocket 路径单独配置，例如：
ProxyPass "/ws/" "ws://10.0.20.8:9001/ws/"（注意协议是ws://或wss://） - 不要复用 HTTP 的
ProxyPass /api/规则去代理/ws/，必须独立一行
