Apache无ProxyAddHeaders指令，需用mod_headers的RequestHeader set配合expr引擎从响应头提取WAF状态（如X-APISIX-CHAITIN-WAF-ACTION）并注入请求头；更可靠方案是让WAF直接在请求头预置X-WAF-Action等字段，Apache仅保留不删除。
Apache本身没有ProxyAddHeaders这个指令，这是常见误解。你真正需要的是ProxySet配合RequestHeader，或直接使用ProxyPass + ProxyPassReverse时启用ProxyPreserveHost和自定义请求头注入功能。
确认WAF状态来源与传递路径
前端WAF（如Chaitin SafeLine、Cloudflare、或自建ModSecurity集群）通常通过响应头返回拦截状态（例如X-CHAITIN-WAF-ACTION: reject），但Apache作为反向代理，默认不会把响应头“回传”为下一级请求头。要让后端服务感知WAF动作，必须由WAF主动在**请求阶段**注入标记，或由Apache在收到WAF响应后，用mod_headers + mod_proxy的组合逻辑做“状态映射+重发”。
实际可行路径只有两种：
- WAF在转发请求时，已通过
X-Forwarded-For类头带入状态字段（推荐方式，需WAF侧配置支持） - Apache收到WAF响应后，解析其响应头（如
X-APISIX-CHAITIN-WAF-ACTION），再用mod_headers的RequestHeader set结合%{resp:X-APISIX-CHAITIN-WAF-ACTION}e变量，将该值注入到发往后端的新请求头中——但这要求Apache 2.4.13+且启用expr引擎
启用mod_headers并配置请求头注入
确保mod_headers和mod_proxy已启用：
立即学习“前端免费学习笔记（深入）”；
a2enmod headers proxy proxy_http
在虚拟主机或Proxy上下文中添加以下配置：
<IfModule mod_headers.c>
# 允许从上游响应头提取值（需Apache ≥2.4.13）
RequestHeader set X-WAF-Action "expr=%{resp:X-APISIX-CHAITIN-WAF-ACTION}e" env=resp_X_APISIX_CHAITIN_WAF_ACTION
RequestHeader set X-WAF-Time "expr=%{resp:X-APISIX-CHAITIN-WAF-TIME}e" env=resp_X_APISIX_CHAITIN_WAF_TIME
RequestHeader set X-WAF-Status "expr=%{resp:X-APISIX-CHAITIN-WAF-STATUS}e" env=resp_X_APISIX_CHAITIN_WAF_STATUS
</IfModule>注意：expr=...语法依赖mod_expr，且仅对RequestHeader set有效；它不能用于add_header（那是响应头）。同时，Apache默认不记录响应头变量到环境，需配合LogFormat或RewriteCond先捕获，更稳妥的做法是让WAF直接在请求头里传值。
更可靠方案：由WAF在请求头中预置标记
如果WAF支持（如Chaitin WAF开启append_waf_req_header），应优先配置WAF在代理请求发出前就写入标准请求头，例如：
X-WAF-Action: passX-WAF-Rule-Match: sql-inj-001X-WAF-Client-IP: 203.0.113.45
这样Apache无需额外解析，后端可直接读取这些头。你只需在Apache中确保不删除它们：
<IfModule mod_headers.c>
# 显式保留WAF注入的请求头（避免被其他规则覆盖）
RequestHeader unset X-WAF-Action early
RequestHeader set X-WAF-Action "%{HTTP:X-WAF-Action}e" early
</IfModule>验证是否生效
重启Apache后，用curl测试链路：
curl -I http://your-site.com/test
观察响应头中是否出现X-APISIX-CHAITIN-WAF-ACTION等字段；再检查后端日志或调试接口，确认是否收到X-WAF-Action请求头。也可临时在后端返回所有HTTP_X_*变量来确认。
不复杂但容易忽略：关键不在Apache“加什么”，而在于WAF“给没给”、Apache“有没有权限读取响应头再转成请求头”。优先推动WAF侧注入，是最稳定的选择。
