Apache配置HTTPS反向代理需启用proxy、proxy_http、ssl模块并设置SSLProxyEngine on；HTTPS→HTTP代理需配置SSL终止与X-Forwarded头；HTTPS→HTTPS代理须开启SSLProxyEngine且避免禁用证书校验；建议添加HTTP 301跳转HTTPS。
Apache 配置 HTTPS 并配合反向代理，核心是两件事：启用 SSL/TLS 支持 + 正确代理到后端服务（HTTP 或 HTTPS）。关键不是“能不能”，而是“怎么配才安全、不报错、不丢头”。
✅ 必须启用的模块
先确保以下模块已加载（httpd.conf 或 mods-enabled/ 中）：
LoadModule proxy_module modules/mod_proxy.so LoadModule proxy_http_module modules/mod_proxy_http.so LoadModule ssl_module modules/mod_ssl.so SSLProxyEngine on # 这行必须有！否则代理 HTTPS 后端会失败
⚠️ 注意：
SSLProxyEngine on是代理 HTTPS 上游（比如https://backend:8443）的前提，缺它会直接 500 错误。
? HTTPS 站点 + 反向代理（代理到 HTTP 后端）
适用于：用户用 https://api.example.com 访问，后端是 http://localhost:3000（如 Node.js）。
<VirtualHost *:443>
ServerName api.example.com
SSLEngine on
SSLCertificateFile /path/to/cert.pem
SSLCertificateKeyFile /path/to/privkey.pem
SSLCertificateChainFile /path/to/fullchain.pem # 如使用 Let's Encrypt
# 传递真实客户端 IP
ProxyPreserveHost On
RequestHeader set X-Forwarded-Proto "https"
RequestHeader set X-Forwarded-Port "443"
# 代理 /api/ 到本地 HTTP 服务
ProxyPass /api/ http://localhost:3000/api/
ProxyPassReverse /api/ http://localhost:3000/api/
# 可选：禁止后端重定向暴露内部地址
ProxyBadRequests off
</VirtualHost>✅ 特点：
- 用户走 HTTPS，Apache 终止 SSL；
- Apache 到后端走普通 HTTP（更轻量）；
-
ProxyPreserveHost On让后端收到原始Host: api.example.com； -
X-Forwarded-*头供后端识别真实协议和端口。
? HTTPS 站点 + 反向代理到 HTTPS 后端（SSL 穿透）
适用于：后端本身也启用了 HTTPS（如 Go 服务监听 https://localhost:8443），需 Apache 作为 TLS 客户端转发。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
<VirtualHost *:443>
ServerName admin.example.com
SSLEngine on
SSLCertificateFile /path/to/cert.pem
SSLCertificateKeyFile /path/to/privkey.pem
SSLProxyEngine on
# 若后端证书非权威 CA（如自签名），加这行（仅测试环境！）
# SSLProxyVerify none
# SSLProxyCheckPeerCN off
# SSLProxyCheckPeerName off
# SSLProxyCheckPeerExpire off
ProxyPreserveHost On
RequestHeader set X-Forwarded-Proto "https"
ProxyPass / https://localhost:8443/
ProxyPassReverse / https://localhost:8443/
</VirtualHost>⚠️ 注意：
-
SSLProxyEngine on不可省； - 生产环境不要禁用证书校验（即别开
SSLProxyVerify none），应把后端证书 CA 加入 Apache 的信任链（用SSLProxyCACertificateFile）； -
ProxyPassReverse的 URL 必须与ProxyPass协议一致（都用https://）。
? HTTP 自动跳转 HTTPS（推荐补上）
在 *:80 虚拟主机里加：
<VirtualHost *:80>
ServerName api.example.com
Redirect permanent / https://api.example.com/
</VirtualHost>这样所有 HTTP 请求都会 301 跳转，保证强制 HTTPS。
? 验证是否生效
- 检查模块：
apachectl -M | grep -E 'proxy|ssl'→ 应见proxy_module,proxy_http_module,ssl_module（shared） - 检查语法：
apachectl configtest（或httpd -t） - 查看错误日志：
tail -f /var/log/apache2/error.log（Debian）或/var/log/httpd/error_log（RHEL）
常见报错：
-
AH01144: HTTP: Bad request→ProxyPassReverse路径不匹配； -
AH00961: SSL handshake failed→SSLProxyEngine未开，或后端证书不被信任； -
503 Service Temporarily Unavailable→ 后端没起来，或防火墙拦了 localhost 访问。
不复杂但容易忽略细节。
