ProxyPassReverse仅替换响应头中匹配的绝对URL前缀，不处理多级目录跳转逻辑；关键在于ProxyPass与ProxyPassReverse路径末尾斜杠必须严格对齐，否则无法正确剥离和重写。
proxypassreverse 本身不处理“多级目录跳转”的逻辑，它只做一件事：在后端返回的 location、content-location、uri 响应头中，把匹配到的**绝对 url 前缀**替换成客户端访问的公网路径前缀。所谓“多级目录”，本质是路径字符串的拼接问题，关键在 proxypass 的斜杠是否对齐。
路径前缀必须带末尾斜杠才能正确剥离和替换
Apache 的路径重写逻辑严格依赖斜杠存在与否：
- 写成
ProxyPass /app/ http://backend:8080/→ 客户端请求/app/users被转发为/users（自动剥离/app/） - 对应地，
ProxyPassReverse /app/ http://backend:8080/才能正确识别后端返回的Location: http://backend:8080/login，并替换成https://example.com/app/login - 如果误写为
ProxyPassReverse /app http://backend:8080/（少斜杠），它就无法匹配任何以http://backend:8080/开头的响应头，跳转地址原样暴露
后端返回的跳转路径层级决定是否需要额外配置
常见多级跳转异常不是 ProxyPassReverse 失效，而是后端构造了错误的绝对路径：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 后端返回
Location: /admin/dashboard（相对路径）→ 完全无需ProxyPassReverse，浏览器自动补全当前域名和前缀 - 后端返回
Location: http://127.0.0.1:8080/admin/dashboard→ 必须配ProxyPassReverse /app/ http://127.0.0.1:8080/，且协议、IP、端口完全一致 - 后端返回
Location: https://backend.example.com/v2/auth/callback→ 你得写ProxyPassReverse /app/ https://backend.example.com/v2/，否则不匹配
多级代理链中每层都要独立配对
如果请求经过 Apache A → Apache B → 后端服务，每一跳都必须自己完成路径修正：
- A 层：将
/api/映射到http://B:8080/api/，就要配ProxyPassReverse /api/ http://B:8080/api/ - B 层：将
/api/映射到http://svc:3000/，就要配ProxyPassReverse /api/ http://svc:3000/ - 不能指望 A 层的
ProxyPassReverse跨越 B 层去修正 svc 返回的地址
避免路径重复拼接的实操要点
跳转后出现 /app/app/login 这类重复路径，说明 ProxyPass 目标路径写错了：
- 错误：
ProxyPass /app/ http://backend:8080/app/→ 请求/app/login变成/app/app/login - 正确：
ProxyPass /app/ http://backend:8080/+ 后端应用部署在根路径，或用ProxyPass /app/ http://backend:8080/app/但确保后端不自己再加前缀 - 配合
ProxyPreserveHost On，让后端知道原始 Host 和路径上下文，减少硬编码绝对路径的依赖
