Apache代理WebSocket出现400错误本质是Upgrade、Connection等hop-by-hop请求头被默认过滤，且未启用mod_proxy_wstunnel模块及正确配置ProxyPass upgrade=websocket、SSLProxyEngine等关键项。
apache 代理 websocket 时出现 400 错误，本质是握手请求头被截断或协议升级语义未正确透传。浏览器发起的 websocket 握手是一次 http 升级请求，必须携带 upgrade: websocket、connection: upgrade、sec-websocket-key 等关键头，而 apache 默认会过滤 hop-by-hop 类型的头部（如 upgrade 和 connection），且不自动启用 websocket 协议支持。
确认 mod_proxy_wstunnel 已启用
Apache 原生不支持 WebSocket 代理，必须加载 mod_proxy_wstunnel 模块：
- 检查是否已启用：
a2enmod proxy_wstunnel（Debian/Ubuntu）或确认LoadModule proxy_wstunnel_module modules/mod_proxy_wstunnel.so在配置中存在 - 确保
mod_proxy和mod_ssl（若用 wss）也已启用 - 重启 Apache 生效：
systemctl restart apache2或apachectl restart
正确配置 ProxyPass 并透传升级头
仅开启模块还不够，必须显式设置协议版本与关键请求头：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
必须使用 HTTP/1.1：WebSocket 升级依赖该版本，添加
ProxyPreserveHost On和ProxyRequests Off -
透传 Upgrade 头：用
RequestHeader set Upgrade "websocket" env=REDIRECT_UPGRADE或更稳妥的方式——在ProxyPass后追加upgrade=websocket参数（Apache 2.4.37+ 支持） -
透传 Connection 头：添加
RequestHeader set Connection "Upgrade" env=REDIRECT_UPGRADE；同时确保没有其他规则覆盖或清空该头 - 示例配置片段：
<Location "/ws"><br> ProxyPass "wss://backend.example.com/ws" upgrade=websocket<br> ProxyPassReverse "wss://backend.example.com/ws"<br> RequestHeader set Origin "https://your-domain.com" early<br></Location>
检查 SNI 和 TLS 层是否干扰握手
若代理的是 wss（WebSocket over TLS），400 可能是 TLS 握手失败导致请求根本未到达后端：
- 启用
SSLProxyEngine on，否则 Apache 不会建立上游 HTTPS 连接 - 显式指定 SNI 域名：
SSLProxyServerName "backend.example.com"（注意加英文双引号） -
ProxyPass必须使用域名而非 IP 地址，否则 SNI 扩展无法发送 - 若后端证书为自签名，需添加
SSLProxyVerify none和SSLProxyCheckPeerCN off（仅测试环境）
验证 Sec-WebSocket-Key 是否被篡改或丢弃
即使头透传成功，中间环节仍可能破坏关键字段：
- 检查 Apache error_log 中是否有
invalid Sec-WebSocket-Key提示；该 key 必须是 24 字符 Base64（16 字节随机数编码），不含空格、下划线或中文 - 禁用所有可能修改请求头的模块（如
mod_security规则、自定义重写逻辑），或临时关闭它们做隔离测试 - 用 curl 手动构造握手请求验证后端是否正常：
curl -i -N -H "Connection: Upgrade" -H "Upgrade: websocket" -H "Sec-WebSocket-Key: $(openssl rand -base64 16)" -H "Sec-WebSocket-Version: 13" https://your-domain.com/ws
