反向代理绕过CORS的核心是将跨域请求转为同源请求，使浏览器不触发预检和响应头校验；需启用mod_proxy、mod_proxy_http等模块，配置ProxyPass及Rewrite规则处理OPTIONS。
apache 反向代理处理 cors 限制，核心不是“解决”cors，而是让 cors 根本不触发——通过把跨域请求变成同源请求，浏览器压根不走预检、不校验响应头。
为什么反向代理能绕过 CORS
浏览器只看前端发起请求的地址是否与当前页面同源（协议+域名+端口）。只要你在 Apache 配置中把 /api/ 映射到后端真实服务，比如 http://api.example.com/api/，那么前端代码里调用 /api/user，实际被 Apache 转发出去，但浏览器全程认为这是访问自己同源的路径，不会发 OPTIONS 预检，也不检查 Access-Control-Allow-Origin。
这比在后端加一堆 CORS 头更干净，尤其适合无法修改后端、或后端由第三方提供的情况。
必须启用的模块和基础配置
确保以下模块已加载（检查 httpd.conf 或 apache2.conf）：
- mod_proxy 和 mod_proxy_http：转发请求的基础模块
- mod_headers：后续若需透传或重写请求头会用到
- mod_rewrite：用于拦截并响应 OPTIONS 请求（可选但推荐）
Linux/macOS 通常默认开启；Windows 用户需确认这些行未被注释：
LoadModule proxy_module modules/mod_proxy.soLoadModule proxy_http_module modules/mod_proxy_http.so
改完重启 Apache：sudo apachectl restart（macOS）或 sudo systemctl reload apache2（Ubuntu）。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
关键代理规则写法（含凭证支持）
在虚拟主机配置中（如 /etc/apache2/sites-available/000-default.conf）添加：
- ProxyPass /api/ http://api.example.com/api/
- ProxyPassReverse /api/ http://api.example.com/api/
- ProxyPreserveHost On：保留原始 Host 头，方便后端日志和路由识别
- 若前端带 Cookie 或 Authorization 头，还需加上：
ProxyPass /api/ http://api.example.com/api/ disablereuse=on
并确保后端接受该 Host 和 Origin
⚠️ 注意斜杠一致性：前后路径末尾都要有 /，否则可能拼错路径（如 /apiuser/login）。
必须处理 OPTIONS 预检（即使走代理）
有些前端框架或 SDK 仍会主动发 OPTIONS 请求。Apache 默认不响应，会导致请求卡住。在 ProxyPass 规则之前加入：
- RewriteEngine On
- RewriteCond %{REQUEST_METHOD} OPTIONS
- RewriteRule ^(.*)$ $1 [R=200,L]
搭配 Header always set Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" 等头（放在同一配置块），就能完整覆盖预检流程。注意：Header always 确保 4xx/5xx 响应也带 CORS 头，避免预检失败时漏发。
