关键不是“替换域名”，而是让Apache自动修正后端返回的Location、Content-Location和URI响应头中的内网地址为公网路径；必须与ProxyPass严格配对，路径、协议、端口、尾部斜杠须完全一致，并配合X-Forwarded-Proto和ProxyPassReverseCookieDomain/Path确保重定向与Cookie正常。
apache 配置 proxypassreverse 解决域名映射错误，关键不是“替换域名”，而是让 apache 自动修正后端返回的 location、content-location 和 uri 响应头 中的内网地址，替换成客户端实际访问的公网路径。错误根源通常是后端应用返回了 http://127.0.0.1:8080/login 这类地址，浏览器直接跳转，绕过代理。
必须配对 ProxyPass 使用，路径和协议要完全一致
ProxyPassReverse 不是独立生效的指令，它只对与 ProxyPass 定义的路径前缀和目标地址**严格匹配**的响应头做字符串替换。
- 如果写
ProxyPass /admin/ http://127.0.0.1:8080/，那么ProxyPassReverse必须写成/admin/ http://127.0.0.1:8080/—— 两边都要带末尾/ - 后端返回
Location: https://127.0.0.1:8443/callback，但 ProxyPassReverse 写的是http://127.0.0.1:8443/，就不会匹配 - 用
curl -v https://example.com/admin/login触发一次重定向，看真实返回的 Location 是什么，再照着写配置，别凭空猜测
HTTPS 公网访问 + HTTP 后端时，不能只靠 ProxyPassReverse
ProxyPassReverse 只做字符串替换，不转换协议。用户通过 https://example.com 访问，而后端返回 http://127.0.0.1:8080/callback，你硬把它替换成 https://example.com/callback 容易出错。
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 更可靠的做法：让后端自己生成正确的 HTTPS 跳转 URL
- Apache 端加两行：
ProxyPreserveHost On（透传原始 Host） +RequestHeader set X-Forwarded-Proto "https" - 后端（如 Spring Boot）需配置
server.forward-headers-strategy=framework并信任X-Forwarded-Proto
多个服务或子路径要分别配置，不能共用一条规则
一个虚拟主机代理多个后端时，每条 ProxyPass 都必须有对应的一条 ProxyPassReverse，参数一一对应。
-
ProxyPass /api/ http://api-svc:3000/→ 必须配ProxyPassReverse /api/ http://api-svc:3000/ -
ProxyPass /auth/ https://auth.example.com:8443/→ 对应ProxyPassReverse /auth/ https://auth.example.com:8443/ - 漏掉任意一条，对应服务的 302 跳转就会暴露内网地址
别忘了 Cookie 的域名和路径也要同步修正
ProxyPassReverse 不处理 Set-Cookie 头里的 Domain 或 Path。如果后端设了 Domain=127.0.0.1 或 Path=/app，浏览器可能拒绝携带 Cookie。
- 加
ProxyPassReverseCookieDomain 127.0.0.1 example.com把 Cookie 域名从内网改成公网 - 加
ProxyPassReverseCookiePath /app /修正 Cookie 路径（例如后端跑在子路径，但代理挂到根） - 这两条不是可选补充，是生产环境稳定登录态的必要配置
