SSLProxyCheckPeerExpire on 是 Apache mod_ssl 中强制校验后端 HTTPS 证书有效期的关键指令，需配合 SSLProxyEngine on、SSLProxyVerify require、SSLProxyCACertificateFile 和 SSLProxyCheckPeerName on 才能生效，否则会导致 502 错误。
SSLProxyCheckPeerExpire on 是 Apache mod_ssl 中用于在反向代理场景下主动拒绝与证书已过期的后端 HTTPS 服务建立连接的关键指令。它不依赖客户端行为，而是在 Apache 作为 HTTPS 客户端发起 TLS 握手时，直接校验后端证书的 Not After 时间戳——若当前系统时间超过该时间，连接立即中止，返回 502 错误，并在 error_log 中明确记录过期原因。
这个配置不是“可选加固”，而是生产环境必须启用的基础安全控制。证书过期常被忽视，但一旦发生，会导致静默降级、信任链断裂或服务中断，而 SSLProxyCheckPeerExpire on 能让问题暴露在接入层，避免错误请求透传到业务逻辑。
✅ 正确启用 SSLProxyCheckPeerExpire 的前提条件
该指令本身生效的前提是：Apache 已启用 HTTPS 代理能力，并完成基础证书校验链。单独写 SSLProxyCheckPeerExpire on 不起作用，必须配合以下最小组合：
SSLProxyEngine on
启用 Apache 主动作为 HTTPS 客户端的能力（否则连 TLS 握手都不会发起）。SSLProxyVerify require
强制验证整个证书链有效性（签名、CA 信任、吊销状态等），SSLProxyCheckPeerExpire是其补充项，专管时间维度。SSLProxyCACertificateFile /path/to/ca-bundle.crt（或SSLProxyCACertificatePath）
显式提供可信 CA 根证书路径。系统默认信任库（如/etc/ssl/certs/ca-certificates.crt）不自动生效，必须显式加载。SSLProxyCheckPeerName on（推荐）
确保主机名也匹配（通过 SAN 字段），避免证书虽未过期但域名错配。
这些指令需统一放在 <VirtualHost>、<Location> 或 <Proxy> 块内，不能仅写在全局上下文。
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
⚠️ 常见失败表现与排查要点
启用后出现 502 或连接重置，往往不是配置写错，而是后端证书真实存在时间问题：
后端服务器本地时间偏差 > 5 分钟
Apache 校验基于自身系统时间，但若后端证书签发/过期时间是按 UTC，而后端机器时钟快或慢超过容差（默认约 5 分钟），就会触发拒绝。
→ 检查后端date -u输出，同步 NTP。证书确实已过期，且未及时轮换
日志中典型提示：SSL Proxy: Peer certificate expired或SSL handshake failed: SSL certificate problem: certificate has expired
→ 立即更新后端证书，勿临时关闭校验。CA 证书包未包含中间证书，导致链不完整
SSLProxyVerify require会验证整条链，若SSLProxyCACertificateFile只含根 CA，不含中间 CA，即使证书未过期也会因链验证失败而中断，日志可能掩盖真实原因。
→ 使用openssl s_client -connect host:port -showcerts抓取完整链，合并为 PEM 并确认顺序（叶证书在前，根在最后）。
? 实际配置片段（HTTPS 后端代理）
<VirtualHost *:443>
ServerName api.example.com
SSLEngine on
SSLCertificateFile /etc/ssl/certs/example.com.pem
SSLCertificateKeyFile /etc/ssl/private/example.com.key
ProxyRequests Off
SSLProxyEngine on
SSLProxyVerify require
SSLProxyCheckPeerName on
SSLProxyCheckPeerExpire on
SSLProxyCACertificateFile /etc/ssl/certs/internal-ca-chain.pem
ProxyPass / https://backend.internal:8443/
ProxyPassReverse / https://backend.internal:8443/
</VirtualHost>注意：
SSLProxyCheckPeerExpire默认就是on（自 Apache 2.4.12 起），但显式声明更清晰、可维护，且避免旧版本兼容歧义。
? 如何快速验证是否生效
- 临时将后端证书的
Not After改为过去时间（测试环境操作）； - 重启 Apache；
- 发起请求，确认返回
502 Bad Gateway； - 查看
error_log，搜索expired或certificate has expired； - 恢复证书后，请求应恢复正常。
不复杂但容易忽略。
