ProxyPassReverse 用于修正后端重定向响应中 Location、Content-Location 和 URI 响应头的 URL 前缀，将内网地址（如 http://127.0.0.1:8080/login）替换为客户端访问的公网地址（如 https://app.example.com/login），必须与 ProxyPass 路径及目标地址严格一致（含斜杠、协议、IP、端口），不处理 HTML、Cookie 或 JS 链接。
ProxyPassReverse 的作用很明确：它只修改后端返回的 302、301 等重定向响应中 Location、Content-Location 和 URI 这三个响应头里的 URL 前缀，把内网地址（如 http://127.0.0.1:8080/login）替换成客户端实际访问的公网地址（如 https://app.example.com/login）。它不改 HTML 页面内容、不处理 Cookie、也不影响 JS 拼接的链接或相对路径跳转。
必须与 ProxyPass 严格配对
ProxyPassReverse 不是独立生效的指令，它依赖 ProxyPass 定义的映射关系做前缀替换。两者第一个参数（路径前缀）和第二个参数（目标地址）必须完全一致，包括：
- 路径末尾斜杠：ProxyPass
/app/→ ProxyPassReverse 也必须是/app/，不能写成/app或/app// - 协议、IP、端口全部匹配：后端返回
https://127.0.0.1:8443/callback，ProxyPassReverse 就得写https://127.0.0.1:8443/；写成http://127.0.0.1:8443/就不会生效 - 多路径或多后端需分别配置：/api/ 和 /auth/ 是两个不同代理，就得各自配一条 ProxyPassReverse，不能复用或省略其中一条
常见失效原因和对应修正
如果 302 跳转仍指向内网地址，优先检查以下几点：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 用
curl -v https://app.example.com/login查看后端实际返回的 Location 值，确认协议、主机、端口是否与 ProxyPassReverse 配置完全一致 - 后端返回了带多余端口的地址（如
http://127.0.0.1:8080:8080/login），而 ProxyPassReverse 写的是http://127.0.0.1:8080/→ 匹配失败，需修正后端输出或调整 ProxyPassReverse 地址 - HTTPS 场景下跳转回 HTTP：仅靠 ProxyPassReverse 不够，还需添加
RequestHeader set X-Forwarded-Proto "https"，并确保后端应用（如 Spring Boot）启用代理头支持
配合其他头确保协议和 Host 正确
ProxyPassReverse 只改响应头中的 URL 前缀，但后端生成跳转时可能依赖 Host 头或协议判断。为避免二次偏移，建议同步配置：
- 关闭 Host 头透传：
ProxyPreserveHost Off（Apache 默认已关，一般无需显式写） - 显式告知协议：
RequestHeader set X-Forwarded-Proto "https"（HTTP 站点则设为 "http"） - 若后端设置 Cookie Path 为 /v1/，而代理路径是 /api/，可加
ProxyPassReverseCookiePath /v1/ /api/修正 Cookie 路径
更稳妥的做法：让后端用相对路径跳转
如果后端能统一返回相对路径（如 Location: /login 或 Location: /callback?code=abc），就完全绕过域名和端口暴露问题，ProxyPassReverse 也不需要参与。这是最简洁、最不易出错的方式，推荐优先在后端实现。
