ProxyPassReverse 不处理防盗链，仅重写响应头中的 Location、Content-Location 和 URI 字段，确保后端重定向指向代理域名而非原始地址；防盗链需单独通过 SetEnvIf + Require 检查 Referer 实现。
ProxyPassReverse 本身不处理防盗链，它只负责重写响应头里的 Location、Content-Location 和 URI 字段，让后端返回的重定向地址或资源路径对客户端“看起来是代理后的域名”，避免跳转到原始后端地址。防盗链需单独配置，通常靠 Referer 头判断来源，再配合 SetEnvIf 或 Require 实现拦截。
ProxyPassReverse 的作用和基本写法
当你用 ProxyPass 把 /api/ 转发到 http://127.0.0.1:3000/ 时，如果后端返回 302 重定向到 http://127.0.0.1:3000/login，浏览器会直接跳过去——这暴露了后端地址，也破坏了前端路由。加 ProxyPassReverse 就能自动把响应头里的这个地址改成 https://yourdomain.com/login。
ProxyPass /api/ http://127.0.0.1:3000/ProxyPassReverse /api/ http://127.0.0.1:3000/
注意：两个指令的路径和目标地址必须完全一致，否则重写失效。
防盗链需要独立配置 Referer 检查
Apache 不自带“一键防盗链”功能，但可通过 SetEnvIf + Require 组合实现。比如只允许自己域名和空 Referer（直接访问）加载图片：
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 在虚拟主机或目录配置块中添加：
SetEnvIf Referer "^https?://(www\.)?yourdomain\.com/" valid_referer Require env valid_referer Require referer
上面第二行表示：仅当 Referer 匹配正则时设环境变量 valid_referer；第三行要求该变量存在才放行；第四行是兜底——允许空 Referer（用户直接输入 URL 访问）。
若要同时放行本地开发环境（如 localhost:3000），可扩展正则：SetEnvIf Referer "^https?://(www\.)?yourdomain\.com/|^http://localhost:3000/" valid_referer
两者结合使用的典型场景
假设你用 Apache 反向代理一个 Node.js 后端（/api/），又托管静态资源（/static/），想防止他人盗链 /static/images/ 下的图片：
- 为
/api/配置反向代理和ProxyPassReverse - 为
/static/images/单独设置<Directory>或<Location>块，加入 Referer 检查 - 确保两个配置在同一虚拟主机内，且顺序合理（防盗链规则不能被 ProxyPass 覆盖）
示例片段：
<Location "/api/">
ProxyPass http://127.0.0.1:3000/
ProxyPassReverse http://127.0.0.1:3000/
</Location>
<Location "/static/images/">
SetEnvIf Referer "^https?://(www\.)?yourdomain\.com/" valid_referer
Require env valid_referer
Require referer
</Location>
注意事项
-
ProxyPassReverse不影响请求头，防盗链依赖的是请求中的Referer，所以它本身无需和 ProxyPass 写在一起 - 某些前端框架（如 Vue Router history 模式）会触发空 Referer，测试时注意区分真实盗链和合法跳转
- CDN 或浏览器插件可能过滤或伪造 Referer，该方案防不住技术较强的盗链，适合基础防护
- 启用
mod_rewrite或mod_authz_core是前提，确认 Apache 已加载这些模块
