根本原因是Apache默认不转发Access-Control-前缀的非标准响应头，需显式配置Header always pass或set相关CORS头，并确保ProxyPass路径斜杠一致、后端实际返回了CORS头。
Apache 代理 Node.js 时出现跨域头丢失，根本原因不是 Apache 主动删了头，而是它默认不转发后端响应中带 Access-Control- 前缀的自定义响应头。Node.js 后端（比如 Express + cors 中间件）确实返回了 Access-Control-Allow-Origin 等头，但 Apache 在反向代理过程中把它们过滤掉了——这会导致浏览器收不到 CORS 头，依然报跨域错误。
确保 ProxyPass 后端响应头能透传
Apache 默认只转发标准 HTTP 头，而 CORS 相关头属于“非标准”头，需显式启用转发：
- 在虚拟主机或 Location 块中添加：ProxyPreserveHost On（保持原始 Host，有助于后端日志和重定向）
- 关键一步：加上 Header always set Access-Control-Allow-Origin "*" 或具体域名（放在
<Location>内），这是最直接的兜底方案 - 若坚持让 Node.js 自己发头，则必须启用 mod_headers 模块，并添加：Header always pass Access-Control-Allow-Origin（注意是
pass，不是set） - 同理，对其他 CORS 头也需逐条放行：Header always pass Access-Control-Allow-Methods Access-Control-Allow-Headers Access-Control-Allow-Credentials Access-Control-Expose-Headers
检查 Node.js 后端是否真返回了 CORS 头
别假设后端配置生效，先验证：
- 绕过 Apache，用 curl 直连 Node.js（如
curl -I http://127.0.0.1:3000/api/test），确认响应里有Access-Control-Allow-Origin - 如果直连有、代理后没有，说明是 Apache 拦截；如果直连也没有，问题出在 Node.js 配置（比如 cors 中间件没挂载、预检 OPTIONS 未处理、或
origin配置与请求源不匹配） - 特别注意：若前端带 Cookie 或 Authorization，Node.js 必须设
credentials: true，且Access-Control-Allow-Origin不能为*，必须写具体域名
避免 ProxyPass 和后端路径不一致引发的隐性问题
路径错位会导致请求被重写，Node.js 收到的原始路径变形，可能触发路由失败或中间件跳过：
- 确保 ProxyPass 和 ProxyPassReverse 的路径结尾斜杠严格一致（都带或都不带）
- 例如前端请求
/api/users，ProxyPass 设为ProxyPass /api/ http://127.0.0.1:3000/api/，则 Node.js 收到的是/api/users；若写成ProxyPass /api http://127.0.0.1:3000/api/（少斜杠），Node.js 实际收到的是/users，可能找不到路由，CORS 中间件也就没机会执行 - 建议统一用带尾部斜杠的形式，更安全
生产环境推荐的最小安全配置组合
不依赖后端头、也不用星号通配，兼顾功能与安全：
- ProxyRequests Off（禁用正向代理）
- ProxyPreserveHost On
- ProxyPass /api/ http://127.0.0.1:3000/api/
- ProxyPassReverse /api/ http://127.0.0.1:3000/api/
- Header always set Access-Control-Allow-Origin "https://your-frontend.com"
- Header always set Access-Control-Allow-Credentials "true"
- Header always set Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"
- Header always set Access-Control-Allow-Headers "Content-Type, Authorization"
