Apache代理本身不共享访问控制名单，但可通过集中配置实现多个后端接口共用同一套IP白名单或认证规则；关键在于将Require指令置于ProxyPass之前，在Location块中统一拦截，支持路径前缀复用、<RequireAll>封装或@外部文件引用，确保名单定义一次、全局生效。
Apache 代理本身不“共享”访问控制名单，但可以通过集中配置实现多个后端接口共用同一套 IP 白名单或认证规则，达到逻辑上的“名单共享”效果。关键在于把访问控制放在代理层统一拦截，而不是分散到每个后端服务里重复写。
把控制逻辑统一放在 Location 块中
适用于所有匹配该路径前缀的接口，天然支持名单复用。比如 /api/ 下所有子路径（/api/users、/api/orders、/api/export）都走同一套校验：
<Location "/api/">
ProxyPass "http://192.168.1.20:8080/"
ProxyPassReverse "http://192.168.1.20:8080/"
Require ip 192.168.10.0/24 10.0.5.100 127.0.0.1
</Location>这样，只要请求 URL 以 /api/ 开头，就强制校验来源 IP —— 名单只定义一次，所有接口自动继承。
用别名或正则表达式复用同一组 Require 规则
当接口分布在不同路径但需共用白名单时（如 /v1/、/admin/、/internal/），可提取公共规则到 <RequireAll> 或单独定义 Require 块：
<RequireAll>
Require ip 192.168.10.0/24
Require ip 10.0.5.100
</RequireAll>
<Location "/v1/">
ProxyPass "http://backend-v1:3000/"
ProxyPassReverse "http://backend-v1:3000/"
Require expr %{REQUEST_URI} =~ m#^/v1/# && %{REMOTE_ADDR} in {"192.168.10.0/24", "10.0.5.100"}
</Location>
<Location "/admin/">
ProxyPass "http://backend-admin:4000/"
ProxyPassReverse "http://backend-admin:4000/"
Require expr %{REQUEST_URI} =~ m#^/admin/# && %{REMOTE_ADDR} in {"192.168.10.0/24", "10.0.5.100"}
</Location>更简洁的做法是直接在每个 Location 中引用相同 Require ip 行——本质就是名单文本复用，无需额外机制。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
利用外部文件集中管理 IP 名单（推荐用于频繁变更场景）
Apache 支持从外部文件读取 IP 列表，便于运维统一维护，避免每次改名单都动主配置：
-
创建白名单文件：
/etc/apache2/auth/ip-whitelist.txt
内容示例：192.168.10.0/24 10.0.5.100 172.21.204.107
-
在配置中引用（需启用
mod_authz_owner和mod_authz_core）：<Location "/api/"> ProxyPass "http://backend:8080/" ProxyPassReverse "http://backend:8080/" Require ip @/etc/apache2/auth/ip-whitelist.txt </Location>
⚠️ 注意：
@符号表示从文件读取 IP 列表，Apache 会实时读取（无需重启，但需apache2ctl graceful重载配置生效）。文件权限需确保 Apache 进程可读（如chmod 644，属主root:www-data）。
避免名单“假共享”的陷阱
- 不要依赖后端自己做鉴权再代理 —— 那等于没共享，各后端各自维护名单，容易不一致；
- 不要遗漏
ProxyRequests Off（防止被用作开放代理）； -
Require指令必须写在ProxyPass之前，否则控制逻辑不生效； - 若用了
AuthType Basic，密码文件（.htpasswd）也建议集中存放、统一引用。
不复杂但容易忽略
