核心是“不依赖外部网络、不污染系统路径、不使用root运行、所有组件可控可审计”，需离线准备完整依赖包并校验，安装至专用路径如/app/apache-prod-2.4.61，以apache-prod用户运行，仅启用so/ssl/rewrite/headers/proxy模块，静态链接OpenSSL，启用内存保护编译选项，并通过定制systemd单元和服务配置实现闭环审计。
在完全隔离的物理机上用源码部署 Apache 生产服务，核心是“不依赖外部网络、不污染系统路径、不使用 root 运行、所有组件可控可审计”。这不是常规安装，而是面向高安全等级场景（如金融、政务内网）的闭环交付方案。
环境与依赖全部离线准备
物理机无外网时，所有依赖必须提前下载并验证完整性：
- Apache 源码包（含 APR/APR-Util 的完整捆绑版，推荐从官网下载
httpd-2.4.61.tar.bz2，它已内置兼容版本的srclib/apr和srclib/apr-util） - OpenSSL 静态库或完整源码（如
openssl-3.0.13.tar.gz），用于编译启用 HTTPS - PCRE2 源码（
pcre2-10.42.tar.gz），rewrite 等模块必需 - 编译工具链：GCC、make、perl 的离线 RPM 或 DEB 包（按物理机 OS 类型匹配，如 CentOS 7 用
gcc-4.8.5-44.el7及其依赖） - 校验文件：每个包对应 SHA256SUM 或 ASC 签名，用离线 GPG 环境验证
安装路径与用户严格隔离
禁止使用 /usr/local 或 /opt 下的通用路径，避免与其他软件冲突：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 指定专属安装前缀，例如
--prefix=/app/apache-prod-2.4.61 - 创建专用运行用户：
useradd -r -s /sbin/nologin apache-prod，所有进程以该用户身份启动 - 配置目录（
conf）、日志目录（logs）、网站根目录（htdocs）全部置于/app/apache-prod-2.4.61下，不跨挂载点 - 确保
/app所在分区为独立磁盘或 LVM 卷，权限设为750，属主为root:apache-prod
模块精简与安全加固编译
关闭一切非必要功能，减少攻击面：
- 禁用默认模块：
--disable-modules=all，再仅启用必需项 - 必须启用：
--enable-so（DSO 基础）、--enable-ssl（HTTPS）、--enable-rewrite（路由控制）、--enable-headers（安全头）、--enable-proxy（反向代理能力） - 禁用：
--disable-cgid、--disable-userdir、--disable-status、--disable-info、--disable-autoindex - 指定静态链接 OpenSSL：
--with-ssl=/app/openssl-3.0.13，避免系统 OpenSSL 版本不可控 - 添加编译参数：
CFLAGS="-O2 -fstack-protector-strong -D_FORTIFY_SOURCE=2"，启用基础内存保护
服务管理与配置审计闭环
不依赖 systemd 默认单元，构建可审计、可回滚的服务体系：
- 编写专用 systemd unit 文件（如
/etc/systemd/system/apache-prod.service），明确指定User=apache-prod、Group=apache-prod、NoNewPrivileges=yes、PrivateTmp=yes - 配置文件中禁用
Include和通配符，所有虚拟主机配置写入单个httpd.conf，不读取子目录 - 开启
ServerTokens Prod、ServerSignature Off、TraceEnable Off - 日志格式强制包含真实客户端 IP（若前端有反代，配合
RemoteIPHeader X-Forwarded-For） - 每次配置变更后，用
/app/apache-prod-2.4.61/bin/httpd -t校验语法，并保存配置快照（如conf/httpd.conf.202608201900）
