Apache反向代理生产部署需兼顾稳定性、安全性与可观测性：通过VirtualHost按域名隔离流量，ProxyPass精准路径映射，启用ProxyPreserveHost、手动透传X-Forwarded-For/X-Forwarded-Proto，HTTPS终结于Apache层，强制跳转、禁用旧协议、添加HSTS，启用mod_proxy_wstunnel支持WebSocket，并为各虚拟主机独立配置日志、超时及错误页面。
Apache 反向代理在生产系统中不是简单加几行配置就能上线的，它需要兼顾稳定性、安全性、可观测性和可维护性。核心思路是：用 VirtualHost 按域名隔离流量，用 ProxyPass 精准转发，再补全客户端信息透传、HTTPS 终结、日志追踪和错误处理等关键环节。
域名级虚拟主机 + 精确路径映射
每个业务域名（如 app.example.com、api.example.com）必须独立定义 <VirtualHost>，避免混用或全局代理。路径映射要严格对齐：
-
ProxyPass / http://127.0.0.1:8080/和ProxyPassReverse / http://127.0.0.1:8080/的末尾斜杠必须一致，否则重定向会出错 - 若只代理子路径（如
/admin），写成ProxyPass /admin http://192.168.1.10:3001/admin，并确保后端服务能正确处理该上下文路径 - 启用
ProxyPreserveHost On，让后端收到原始 Host 头，避免生成错误跳转链接或静态资源 404
真实客户端信息与协议透传
后端服务依赖 X-Forwarded-For 和 X-Forwarded-Proto 判断来源和协议。Apache 默认会自动加这些头，但不可信——需手动控制：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 关闭自动注入：
ProxyAddHeaders Off - 显式设置真实 IP：
RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e" - HTTPS 终结时注明协议：
RequestHeader set X-Forwarded-Proto "https" - 若后端是 Node.js 或 Spring Boot，需确认其已启用
forwarded-headers支持（如 Express 的trust proxy、Spring 的server.forward-headers-strategy=framework）
HTTPS 终止与安全加固
生产环境必须终结 HTTPS 在 Apache 层，不把证书和加密甩给后端：
- 启用
mod_ssl，配置有效的 TLS 证书（推荐 Let’s Encrypt +certbot自动续期） - 强制 HTTP 跳转 HTTPS：
Redirect permanent / https://example.com/ - 禁用老旧协议：
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 - 添加 HSTS 头：
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains" - WebSocket 支持不能漏：
mod_proxy_wstunnel必须启用，且ProxyPass对wss://或升级请求要兼容（如ProxyPass /ws ws://127.0.0.1:8080/ws）
日志、监控与故障隔离
单个反向代理出问题不该影响其他域名：
- 为每个
VirtualHost单独配置ErrorLog和CustomLog，便于快速定位问题域 - 开启
ProxyStatus（需加载mod_status）并限制访问权限，实时查看代理连接状态 - 设置超时参数防拖垮：
ProxyTimeout 30、ProxyBadHeader ignore - 后端宕机时返回友好页面：
ErrorDocument 503 /503.html，并确保该静态页放在 Apache DocumentRoot 下
