Apache代理转发请求头丢失由安全策略、模块差异和配置遗漏共同导致，需按Authorization、下划线头、标准转发头、CORS响应头四类分别修复：启用WSGIPassAuthorization、underscores_in_headers并透传、ProxyPreserveHost及proxy_set_header、Header指令显式设置CORS头。

apache 代理转发时请求头丢失，不是随机现象，而是由默认安全策略、模块行为差异和配置遗漏共同导致的。关键在于区分丢失的是哪类头——authorization、带下划线的自定义头（如 auth_token）、host/x-forwarded-for 还是 origin，再针对性修复。

Authorization 头在 WSGI 应用中丢失

使用 mod_wsgi 托管 Django 或 Flask 时，Authorization 头默认被拦截，不会进入 WSGI 环境变量。

• 在虚拟主机或 <Directory> 块中添加：WSGIPassAuthorization On
• 不要依赖 SetEnvIf 或 RequestHeader set 替代——它们无法还原原始头到 HTTP_AUTHORIZATION 环境变量
• 重启 Apache 后，应用可通过 request.headers.get("Authorization") 或 environ.get("HTTP_AUTHORIZATION") 正常读取

含下划线的请求头（如 auth_token）被静默丢弃

Apache 将下划线视为非法字段分隔符，默认直接过滤掉，不报错也不记录。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 在 <VirtualHost> 或全局 httpd.conf 的顶部添加：underscores_in_headers on
• 仅开启该指令还不够，必须配合显式透传：例如用 RequestHeader set auth_token "%{HTTP:auth_token}e"
• 更推荐统一改用连字符命名（如 auth-token），避免跨服务器兼容性问题

反向代理中 Host、X-Forwarded-* 等标准头异常

未启用 ProxyPreserveHost 或漏配 proxy_set_header，会导致后端看到内网地址而非真实域名。

• 必须加：ProxyPreserveHost on（放在 ProxyPass 同级，不继承）
• 手动声明转发头：proxy_set_header Host $host;、proxy_set_header X-Real-IP $remote_addr;、proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
• 对大小写敏感场景（如 Java Servlet），用 proxy_set_header Authorization $http_authorization; 避免转为小写

CORS 相关头（如 Access-Control-Allow-Origin）未透传

Apache 不自动转发后端返回的响应头，CORS 失败往往是因为这些头根本没到达浏览器。

• 确认后端确实返回了 CORS 头（直连后端验证）
• 在代理配置中强制设置：Header always set Access-Control-Allow-Origin "https://your-frontend.com"（生产环境禁用 *）
• 若需动态响应 Origin，搭配 SetEnvIf Origin "^https?://" origin_exists 和 Header always set Access-Control-Allow-Origin "%{ORIGIN}e" env=origin_exists