Apache代理HTTPS后端证书报错本质是其作为TLS客户端连接后端时验证失败，需聚焦outbound SSL行为：确认TLS穿透场景（ProxyPass https://或wss://）、查error_log中SSL handshake failed in proxy等线索、启用SSLProxyEngine on并配置SSLProxyVerify none或SSLProxyCACertificateFile等校验参数，再用openssl s_client验证后端证书有效性。
Apache 代理 HTTPS 后端（即 TLS 穿透）时出现证书报错，本质是 Apache 作为 TLS 客户端去连接后端服务，但验证失败。问题不在浏览器到 Apache 这段，而在 Apache 到后端应用服务器之间。排查必须聚焦于 Apache 的 outbound SSL 行为。
确认是否属于 TLS 穿透场景
先看配置里有没有类似这样的语句：
-
ProxyPass https://127.0.0.1:8443/或ProxyPass wss://127.0.0.1:8080/ - 没配
SSLProxyEngine on，或没设SSLProxyVerify none/SSLProxyCACertificateFile
只要用了 https:// 或 wss:// 作后端地址，且没显式启用代理级 SSL 控制，就属于 TLS 穿透——此时 Apache 必须能成功完成与后端的 TLS 握手，否则会报错。
查 error_log 中的关键错误线索
打开 /var/log/apache2/error.log（Ubuntu）或 /var/log/httpd/error_log（CentOS），重点找这几类日志：
-
SSL Library Error: error:XXXXXXX—— 复制错误码，用openssl errstr XXXXXXX解析，比如error:14090086是“certificate verify failed” -
SSL handshake failed in proxy或proxy: error reading status line from remote server -
unable to get local issuer certificate—— 表示 Apache 找不到后端证书的签发 CA -
SSL certificate verification failed—— 明确指向证书校验环节中断
检查 SSLProxy 相关配置是否完整
仅开启 mod_proxy_ssl 不够，必须显式启用并控制校验行为：
- 运行
a2enmod proxy_ssl（Ubuntu）或确认LoadModule proxy_ssl_module modules/mod_proxy_ssl.so已加载（CentOS） - 在虚拟主机或代理配置块中加：
SSLProxyEngine onSSLProxyVerify none（开发/测试环境快速验证）SSLProxyCheckPeerCN offSSLProxyCheckPeerName off - 如需严格校验，提供可信 CA 文件：
SSLProxyCACertificateFile /path/to/backend-ca-bundle.crt
验证后端证书是否被 Apache 正确识别
从 Apache 服务器本机手动模拟请求，绕过代理配置直接测后端 TLS：
openssl s_client -connect 127.0.0.1:8443 -servername your-backend-domain.com -showcerts- 观察输出中的
Verify return code: 0 (ok)是否出现；若为20（unable to get local issuer certificate）或62（Hostname mismatch），说明后端证书本身有问题 - 检查后端是否用了自签名证书、私有 CA、或域名与证书 SAN 不匹配
