<p>Apache 官方不提供 mod_proxy_hcheck 模块，该名称属常见误解；实际用于 HTTPS 后端安全校验的是 mod_ssl 提供的 SSLProxy* 指令集，需协同启用 SSLProxyEngine、SSLProxyVerify、SSLProxyCheckPeerName 等指令，并显式配置可信 CA 证书路径及校验深度。</p>
apache 没有 mod_proxy_hcheck 模块，这是常见误解。官方 apache http server（截至 2026 年）不提供原生的主动 https 健康检查模块，也不存在名为 mod_proxy_hcheck 的标准模块——该名称可能混淆了 nginx 的 nginx_upstream_check_module、haproxy 的健康探测，或误记了第三方非官方扩展。
真正能用于 HTTPS 后端安全校验的，是 mod_ssl 提供的一组代理专用 SSL 指令，它们让 Apache 在反向代理时以可信 HTTPS 客户端身份连接后端，从而完成证书链、域名、有效期等全维度校验。
以下是实际可用、生产环境验证有效的配置要点：
必须启用并协同工作的核心指令
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
-
SSLProxyEngine on：开启代理模式下的 TLS 客户端能力（不启用则所有 HTTPS 后端连接直接失败） -
SSLProxyVerify require：强制校验证书签名、吊销状态、有效期和主机名匹配（仅require触发完整校验） -
SSLProxyCheckPeerName on：依据 RFC 6125 检查证书 SAN 字段是否匹配 ProxyPass 中的主机名（SSLProxyCheckPeerCN off必须同步设置） -
SSLProxyCheckPeerExpire on：显式启用有效期检查（默认不检查；即使SSLProxyVerify require开启，也不包含过期判断）
必须指定可信 CA 根证书
Apache 不读取系统 CA 信任库（如 /etc/ssl/certs/ca-certificates.crt），必须显式声明：
-
SSLProxyCACertificateFile /path/to/backend-ca-root.pem
（PEM 格式，仅含根 CA 或完整信任链，不能是后端服务器证书本身） - 若后端使用多级私有 CA（如 Root → ICA1 → ICA2 → Server），还需配合：
-
SSLProxyVerifyDepth 3（数字需与中间 CA 层数一致）
-
关键注意事项
- 所有
SSLProxy*指令必须放在<VirtualHost>、<Proxy>或<Location>块内，全局配置无效 - 后端服务器时间与 Apache 主机时间偏差超过 ±5 分钟，会导致
SSLProxyCheckPeerExpire on静默拒绝连接（日志仅显示Peer certificate has expired） -
ProxyPass /api https://backend.internal:8443/中的backend.internal必须完整出现在后端证书的 SAN DNS 条目中（如DNS:backend.internal），通配符*.internal不匹配
不复杂但容易忽略
