Apache 不该在云平台负载均衡后做终端 SSL 卸载，因云 LB 已承担此职责；正确做法是 Apache 接收其转发的明文 HTTP 请求，信任 X-Forwarded-Proto 等头，禁用 mod_ssl，专注代理与业务，并注入 HSTS 等防护头。
Apache 不该在云平台负载均衡后面做终端 SSL 卸载——这是常见但危险的配置误区。真正的终端卸载必须由最外层面向公网的组件完成，而云平台 LB（如阿里云 SLB、腾讯云 CLB、AWS ALB）本身就是为此设计的。把 Apache 放在它后面再做一次 HTTPS 解密，不仅浪费资源，还会破坏加密链路完整性，带来安全与功能双重风险。
为什么不能让 Apache 在云 LB 后面卸载终端证书
云平台负载均衡已天然承担终端 SSL 卸载职责：它监听 443 端口、上传并管理证书、完成 TLS 握手与解密，再以明文 HTTP（或可选 HTTPS）转发给后端。此时 Apache 的角色应是纯业务反向代理或应用服务器，而非重复加解密节点。
- 若强制 Apache 再做一次“卸载”，实际是 HTTPS → 云 LB 解密 → HTTP → Apache 再用 mod_ssl 监听另一个端口（如 8443）重新加密 → 又解密 → 转发后端，形成冗余 TLS 循环
- 会丢失原始客户端 IP、协议头（如 X-Forwarded-Proto）、SNI 信息，导致重定向异常、HSTS 失效、日志失真
- 云 LB 通常不支持将已解密的请求再“伪装成 HTTPS”发给后端；即使 Apache 配置了 SSLEngine on，收到的也是普通 HTTP 流量，无法触发 SSL 模块
正确分工：云 LB 做终端卸载，Apache 专注代理与业务
标准架构下，Apache 应接收云 LB 转发的明文 HTTP 请求，并信任其注入的标准转发头：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 云 LB 必须开启“HTTP 头透传”，确保注入 X-Forwarded-Proto: https、X-Forwarded-Port: 443、X-Real-IP 和 X-Forwarded-For
- Apache 配置中禁用 SSLEngine（不监听 443），只监听 80 或内网端口（如 8080），用 ProxyPass / http://127.0.0.1:3000/ 转发至本地应用
- 后端应用通过读取 X-Forwarded-Proto 判断是否为 HTTPS 请求，生成正确跳转链接和 Cookie 安全标记（Secure flag）
Apache 需要做的安全适配（非卸载）
虽然不参与终端卸载，Apache 仍需配合云 LB 做好链路信任与策略加固：
- 校验来源 IP：用 Require ip 10.0.0.0/8 或云 LB 实际内网出口段，拒绝非 LB 的直连请求
- 强制信任转发头：添加 RequestHeader set X-Forwarded-Proto "https" env=HTTPS（仅当云 LB 未稳定注入时作兜底）
- 注入防护响应头：Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains" —— 此头由 Apache 发出完全有效，因它位于响应路径上
- 关闭自身无关模块：禁用 mod_ssl、mod_http2 等非必需模块，减少攻击面与内存开销
特殊情况：需要 Apache 终端卸载时的替代方案
仅当云平台 LB 明确不支持 SSL 卸载（如某些老旧四层 TCP 负载或定制私有 LB），才考虑让 Apache 承担终端角色。此时必须：
- 将 Apache 直接暴露在公网（绑定弹性 IP），不再置于云 LB 后方
- 严格限制访问源：通过云防火墙或安全组，只放行 443 端口且禁止其他端口对外暴露
- 启用完整加固：TLS 1.2+、前向保密套件、OCSP Stapling（需 mod_ssl 2.4.32+）、HSTS preload
- 证书私钥权限设为 600，属主为 root，Apache worker 进程不直接读取私钥（用 SSLPassPhraseDialog exec 方式更安全）
