AJP连接Apache与Tomcat的核心是确保协议稳定运行、规避安全风险并精准透传客户端信息；需显式加载mod_proxy_ajp模块、限定Tomcat AJP绑定地址为127.0.0.1（或内网IP）、严格对齐ProxyPass路径，并手动补全X-Forwarded-For等头，否则易出现503、IP丢失或重定向错误。
用 mod_proxy_ajp 连接 Apache 和 Tomcat，核心不是“配对成功”，而是让二进制 AJP 协议真正跑起来、不掉链子、不暴露风险、不丢真实信息。AJP 比 HTTP 代理快，但默认不启用、不安全、不自动透传 IP——这些才是卡住 90% 部署的关键。
确保 mod_proxy_ajp 模块已加载且无冲突
Apache 2.4 默认只启 mod_proxy，mod_proxy_ajp 必须显式加载，否则 ProxyPass ... ajp:// 会静默失效或报 Invalid URL：
- 运行
httpd -M | grep proxy（CentOS/RHEL）或a2enmod -l | grep proxy（Debian/Ubuntu），确认输出含proxy_ajp_module (shared) - 检查模块加载文件（如
/etc/httpd/conf.modules.d/00-proxy.conf或/etc/apache2/mods-available/proxy_ajp.load），确保两行都未被注释：
LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_ajp_module modules/mod_proxy_ajp.so - 禁用
mod_jk：两者共存可能引发连接复用错乱，出现Connection refused或随机 503
Tomcat 端必须启用并限定 AJP Connector 绑定地址
AJP 默认监听 0.0.0.0:8009，等于把内部通信端口直接暴露公网——这是高危配置，也是“本地通、线上不通”的最常见原因：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 编辑
$CATALINA_HOME/conf/server.xml，找到或新增 AJP Connector，并强制指定address="127.0.0.1"：
<Connector port="8009" protocol="AJP/1.3" address="127.0.0.1" redirectPort="8443" connectionTimeout="60000" keepAliveTimeout="60000" maxThreads="500" /> - 若 Apache 与 Tomcat 分离部署，
address改为 Tomcat 实际内网 IP（如192.168.21.31），同时确保防火墙放行该 IP+8009 - 重启 Tomcat 后验证：
ss -tlnp | grep :8009应显示127.0.0.1:8009，而非*:8009
Apache ProxyPass 路径必须与 Tomcat context path 严格对齐
路径错位会导致静态资源 404、重定向跳转到错误地址、Session 丢失等隐蔽问题：
- 假设 Tomcat 应用部署在
/myapp（即 WAR 包名为myapp.war），Apache 配置必须写成：
ProxyPass /myapp ajp://127.0.0.1:8009/myapp
ProxyPassReverse /myapp ajp://127.0.0.1:8009/myapp - 结尾斜杠必须一致：如果 Tomcat context 是
/（ROOT 应用），就写ProxyPass / ajp://.../；写成ProxyPass / ajp://.../与ProxyPass / ajp://.../表面一样，但少一个斜杠可能导致 Location 头重写失败 - 禁止使用
ProxyPassMatch匹配后缀（如.*\.jsp$）：AJP 不解析 URL 后缀，这类规则容易绕过 AJP 直接走 HTTP 回退，失去协议优势
补全客户端信息透传与常见故障排查
AJP 协议本身不自动携带 X-Forwarded-For、SSL 状态等关键头，需手动补全；503 错误往往不是配置写错，而是底层连不上：
- 在
ProxyPass前添加头透传（尤其用了RemoteIpValve的 Tomcat）：
RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}s"
RequestHeader set X-Forwarded-Proto "http"（若前端有 TLS 终止，改为https） - 503 “Service Temporarily Unavailable” 三大真因：
– Tomcat AJP connector 未启用或绑定地址不符（IPv4 vs IPv6）
– SELinux 或防火墙拦截 8009（RHEL/CentOS 上执行setenforce 0临时测试）
– Apache 工作进程卡死：查日志tail -f /var/log/httpd/error_log | grep -i ajp，重点看connection refused或timeout - AJP 不支持 WebSocket：需代理
ws://或wss://，必须额外启用mod_proxy_wstunnel并改用ProxyPass /ws ws://...走 HTTP 协议
