Apache无法直接透传前端TLS加密套件，需通过SSLOptions +StdEnvVars提取SSL_CIPHER等环境变量，并用RequestHeader set注入X-SSL-Cipher等自定义头供后端读取。
Apache 本身不支持通过 ProxyAddHeaders 或任何内置指令直接将前端 TLS 加密套件（如 TLS_AES_256_GCM_SHA384）透传给后端 Java 应用。这是关键前提——ProxyAddHeaders 并非 Apache 的标准指令（它不存在于 mod_proxy 或 mod_ssl 中），常见混淆可能源于对 RequestHeader set、SSLProxy* 指令或 Nginx 的 proxy_set_header 的误记。
真正可行的路径是：由 Apache 解析 TLS 握手信息，再以自定义 HTTP 头形式注入请求，后端主动读取这些头。但需注意：Apache 默认不暴露加密套件等 TLS 层细节，必须借助 mod_ssl 提供的环境变量 + mod_headers 显式提取并转发。
以下是可落地的操作方案：
✅ 步骤一：确认模块已启用
确保以下模块在 httpd.conf 或 mods-enabled/ 中加载：
立即学习“前端免费学习笔记（深入）”；
LoadModule ssl_module modules/mod_ssl.so LoadModule headers_module modules/mod_headers.so LoadModule proxy_module modules/mod_proxy.so LoadModule proxy_http_module modules/mod_proxy_http.so
✅ 步骤二：在 <virtualhost></virtualhost> 中提取并透传 TLS 信息
Apache 通过 SSL_* 环境变量提供 TLS 上下文（需 SSLEngine on）。常用可透传字段包括：
-
SSL_CIPHER：当前协商的加密套件名称（如ECDHE-ECDSA-AES128-GCM-SHA256） -
SSL_PROTOCOL：协议版本（如TLSv1.3） -
SSL_CLIENT_S_DN：客户端证书 DN（若启用双向认证）
添加如下配置：
# 启用 SSL 环境变量传递（默认开启，显式声明更稳妥）
SSLOptions +StdEnvVars
# 将 TLS 信息作为请求头转发
RequestHeader set X-SSL-Cipher "%{SSL_CIPHER}e"
RequestHeader set X-SSL-Protocol "%{SSL_PROTOCOL}e"
RequestHeader set X-SSL-Client-DN "%{SSL_CLIENT_S_DN}e"
# 可选：透传原始 Host 和协议，辅助后端判断上下文
RequestHeader set X-Forwarded-Proto "https"
RequestHeader set X-Forwarded-Port "443"⚠️ 注意：
%{SSL_CIPHER}e中的e表示“environment variable”，不是拼写错误。
✅ 步骤三：后端 Java 应用读取这些头
例如 Spring Boot Controller 中：
@GetMapping("/debug/tls")
public Map<String, String> getTlsInfo(HttpServletRequest req) {
return Map.of(
"cipher", req.getHeader("X-SSL-Cipher"),
"protocol", req.getHeader("X-SSL-Protocol"),
"clientDN", req.getHeader("X-SSL-Client-DN")
);
}确保 Web 容器（如 Tomcat）未过滤掉带连字符的自定义头（默认允许）。
❌ 常见误区提醒
-
ProxyAddHeaders不是 Apache 指令，不要在配置中使用； -
SSLProxy*系列指令（如SSLProxyEngine）仅控制 Apache 作为 HTTPS 客户端连接后端，与接收客户端的 TLS 信息无关； - 加密套件是 TLS 层协商结果，无法通过
ProxyPass自动继承，必须手动提取+注入； - 若后端需要完整 TLS 握手原始数据（如 ClientHello），Apache 无此能力——需改用支持 TLS passthrough 的 L4 代理（如 HAProxy）。
本质上，这不是“透传套件”，而是“记录并转达套件名称”。对绝大多数审计、日志、策略路由场景已足够。
