Apache反向代理隐藏后端Java服务器真实IP需同时启用mod_proxy和mod_proxy_http模块、配对使用ProxyPass/ProxyPassReverse、透传X-Forwarded-*头并确保Java应用主动解析，缺一不可。
Apache反向代理能有效隐藏后端Java服务器的真实IP，但光配ProxyPass远远不够——关键在模块启用、头信息透传、路径一致性与Java端协同解析三者缺一不可。
必须启用的两个核心模块
若mod_proxy和mod_proxy_http未加载，Apache会直接报500错误，日志里可能只显示Invalid command 'ProxyPass'这类模糊提示。
- 运行
httpd -M | grep proxy（Linux）或apache2ctl -M | findstr proxy（Windows）确认模块已加载 - 如未启用，在
httpd.conf中补上两行：LoadModule proxy_module modules/mod_proxy.soLoadModule proxy_http_module modules/mod_proxy_http.so - 修改后务必先执行
apachectl configtest校验语法，再重启服务
ProxyPass与ProxyPassReverse必须成对出现
只配ProxyPass会导致后端返回的重定向（如Spring Boot登录跳转）暴露内网地址，用户点击链接直接跳到http://192.168.1.100:8080/login等不可达路径。
Java 接口排错助手
下载
在调试 Java 后端 API 故障时使用此技能，尤其适用于以下任务：分析日志、跨 Controller、Service 和 Mapper 层追踪请求、定位异常根因、检查 SQL 执行或参数流转，以及生成简洁的诊断结论与修复方案。
- 典型配置（假设Java服务监听
127.0.0.1:8080，域名是app.example.com）：ProxyPreserveHost OnProxyPass / http://127.0.0.1:8080/ProxyPassReverse / http://127.0.0.1:8080/ -
ProxyPreserveHost On让原始Host头（如app.example.com）透传给Java应用，避免其生成http://127.0.0.1:8080开头的绝对URL - 注意前后斜杠统一：若
ProxyPass /api/，则后端地址也需以/api/结尾，否则路径拼接错乱
真实客户端IP不能靠Apache单方面解决
Apache默认不改写X-Forwarded-For，即使加了RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e"，Java应用若不主动解析这些头，request.getRemoteAddr()仍返回127.0.0.1，IP限流、白名单、日志审计全部失效。
立即学习“Java免费学习笔记（深入）”；
- Apache需设置标准转发头：
RequestHeader set X-Forwarded-Proto "https" env=HTTPSRequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e" early - Java端必须自行解析：
优先取X-Forwarded-For头部第一个非unknown的IP（多级代理时可能含多个IP，用逗号分隔）
备用检查X-Real-IP、Proxy-Client-IP等常见头 - Spring Boot推荐方式：配置
server.forward-headers-strategy=framework，并确保Web容器（如Tomcat）信任代理IP段（如server.tomcat.remoteip.remote-ip-header=x-forwarded-for）
额外加固建议
仅隐藏IP还不够，安全闭环还需几步。
- 禁用后端Java服务的公网监听：将
application.properties中server.address设为127.0.0.1，防止绕过Apache直连 - 关闭Apache代理开放性：避免被用作公共代理，在配置中加入
ProxyRequests Off - 如需HTTPS卸载，Apache上配置SSL证书，并通过
X-Forwarded-Proto: https告知Java应用当前协议，避免重定向循环
