Apache通过mod_ssl终结TLS并用mod_proxy转发请求至Java容器，需配置证书、强加密套件、代理头传递及后端应用信任X-Forwarded-*头，高安全场景可选后端HTTPS。
Apache 本身不直接运行 Java 应用，而是通过反向代理（如 mod_proxy）将请求转发给后端的 Java Web 容器（如 Tomcat、Jetty）。加密传输的关键在于：让 Apache 作为 TLS 终结点（SSL/TLS Termination），即由 Apache 处理 HTTPS 解密，再以 HTTP（或可选的 HTTPS）方式与后端 Java 应用通信。mod_ssl 负责前端的 HTTPS 加密，而非直接为 Java 应用“加 SSL”。
启用 mod_ssl 并配置 HTTPS 站点
确保已加载 mod_ssl 模块，并在 Apache 配置中定义一个监听 443 端口的虚拟主机：
- 在 httpd.conf 或 ssl.conf 中启用：LoadModule ssl_module modules/mod_ssl.so
- 配置证书路径：SSLCertificateFile（公钥证书）、SSLCertificateKeyFile（私钥）、必要时添加 SSLCertificateChainFile
- 开启 TLS 协议和强加密套件，例如：SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1，SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256
配置反向代理到后端 Java 应用
使用 mod_proxy 和 mod_proxy_http 将解密后的请求安全转发至本地或远程 Java 服务（如 Tomcat 的 8080 端口）：
- 启用模块：LoadModule proxy_module modules/mod_proxy.so 和 LoadModule proxy_http_module modules/mod_proxy_http.so
- 在 VirtualHost 内添加：
<Proxy *>
Require all granted
</Proxy>
ProxyPass / http://localhost:8080/
ProxyPassReverse / http://localhost:8080/ - 若后端 Java 应用依赖原始协议头（如重定向、生成绝对 URL），需显式传递：
RequestHeader set X-Forwarded-Proto "https"
RequestHeader set X-Forwarded-Port "443"
后端 Java 应用适配代理头（关键！）
Java 应用（如 Spring Boot、Tomcat）默认不知道自己被代理，可能误判请求协议为 HTTP，导致重定向跳转到 http:// 而非 https://。必须配置信任代理头：
立即学习“Java免费学习笔记（深入）”；
- Spring Boot：设置 server.forward-headers-strategy=framework（自动识别 X-Forwarded-*），并确保 server.tomcat.remote-ip-header=x-forwarded-for 和 server.tomcat.protocol-header=x-forwarded-proto
- Tomcat：在 conf/server.xml 的 Connector 中添加：remoteIpHeader="x-forwarded-for" protocolHeader="x-forwarded-proto"，并配置 internalProxies 白名单（如 127.0.0.1）
- 检查应用日志或响应头，确认 X-Forwarded-Proto: https 已生效，且重定向 Location 使用 https
可选：后端连接也启用 HTTPS（mTLS 或服务间加密）
若安全要求极高（如跨网络、多租户环境），可在 Apache 与 Java 应用之间也启用 HTTPS（即端到端加密）：
- 为 Java 应用（如 Tomcat）单独配置 HTTPS Connector（监听 8443），启用证书验证
- Apache 中改用 ProxyPass / https://localhost:8443/，并配置 SSLProxyVerify require 和 SSLProxyCACertificateFile 以校验后端证书
- 注意：这会增加 TLS 握手开销，且需维护额外证书；多数场景下仅 Apache 终结 TLS 已足够
