Apache中需禁用已废弃的ProxyAddHeaders，改用RequestHeader set指令显式提取WAF响应头（如X-APISIX-CHAITIN-WAF-ACTION）并设为X-Forwarded-WAF-Action请求头，再由后端通过标准API读取，同时开启WAF全量响应头注入以确保放行流量也有标记。
在 Apache 中启用 ProxyAddHeaders 并向后端传递 WAF 拦截状态标记，核心是让 Apache 作为反向代理时，把 WAF（如华为云 WAF、阿里云 WAF 或自建 Chaitin/SafeLine）注入的响应头（例如 X-APISIX-CHAITIN-WAF-ACTION、X-WAF-Status 等）**原样透传或重写为自定义请求头**，再转发给后端应用。
确认 WAF 已在响应中注入状态头
多数企业级 WAF（如 Chaitin SafeLine、华为云 WAF、阿里云 WAF）在拦截/放行请求后，会在响应中添加特定 HTTP 头标识处理结果。例如：
-
X-APISIX-CHAITIN-WAF-ACTION: pass或reject -
X-WAF-Status: blocked/allowed X-SafeLine-Action: block
需先通过 curl 或浏览器开发者工具验证：访问被 WAF 防护的域名，检查响应头是否真实存在这些字段。若无，则需先在 WAF 控制台开启「返回调试头」或「响应头增强」功能（不同厂商叫法不同）。
启用 ProxyAddHeaders 并透传/映射头字段
Apache 默认不自动将上游响应头转为下游请求头。要实现“向前端 WAF 状态注入后端”，需结合 mod_proxy 和 mod_headers，分两步操作：
前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。
立即学习“前端免费学习笔记（深入）”；
- 用
ProxyPreserveHost On保持原始 Host，避免后端路由异常 - 用
RequestHeader set手动提取并设置请求头，例如：RequestHeader set X-Forwarded-WAF-Action "expr=%{resp:X-APISIX-CHAITIN-WAF-ACTION}" - 若 WAF 头未出现在响应中（比如只在拦截页返回），可配合
RewriteCond %{ENV:REDIRECT_STATUS} ^403$等逻辑兜底补充标记
后端应用如何读取该标记
后端服务（如 PHP、Node.js、Java Spring Boot）可通过标准方式获取请求头：
- PHP：
$_SERVER['HTTP_X_FORWARDED_WAF_ACTION'] - Node.js：
req.headers['x-forwarded-waf-action'] - Java：
request.getHeader("X-Forwarded-WAF-Action")
注意大小写转换规则：HTTP 头名在 Apache 中不区分大小写，但后端框架可能强制小写或加前缀（如 HTTP_），建议统一使用短横线分隔、全小写形式命名，降低兼容风险。
常见问题与绕过提示
部分 WAF（如某些版本的华为云 WAF）默认仅对拦截响应添加头，放行流量不加任何标记——这会导致后端无法区分“WAF 放行”和“未过 WAF”。此时需：
- 在 WAF 控制台开启「全量响应头注入」或「调试模式」
- 或在 Apache 层统一补全：
RequestHeader set X-Forwarded-WAF-Action "allowed" early env=!resp:X-APISIX-CHAITIN-WAF-ACTION
- 避免依赖
ProxyAddHeaders On（它只透传Proxy-开头的头，且已废弃），改用RequestHeader显式控制
