Apache反向代理需配置ProxyPreserveHost On、启用mod_headers并设Access-Control-Allow-Credentials: true及具体源，前端须用credentials: 'include'，后端响应头必须匹配CORS凭据要求。
apache 的 proxypass 本身不直接“处理”跨域凭证，而是通过反向代理把前端请求转发给后端时，**保留或补充必要的 http 头与行为配置**，让携带凭证（如 cookie、authorization）的跨域请求能被后端正确接收和验证。关键在于：代理层要确保凭证不被丢弃、host 不被篡改、响应头支持凭据，且前端调用方式匹配。
必须开启并保留凭证传递链路
默认情况下，Apache 反向代理会剥离客户端发来的 Cookie 和 Authorization 等敏感头。要让它们透传到后端，需显式启用：
-
ProxyPreserveHost On：保持原始请求的Host头，方便后端识别来源、生成正确跳转或日志归因 -
ProxyRequests Off（确保是反向代理，非正向） - 确认已加载模块：
mod_proxy、mod_proxy_http、mod_headers
前端请求必须带 withCredentials
仅 Apache 配置到位还不够。前端 JavaScript 发起请求时，必须主动声明需要携带凭证：
- Fetch API：
credentials: 'include' - Axios：
withCredentials: true - XMLHttpRequest：
xhr.withCredentials = true
否则浏览器根本不会发送 Cookie 或 Authorization，Apache 也就无从代理。
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
后端响应必须允许凭据 + 明确指定源
即使代理成功转发了凭证，若后端响应头不符合 CORS 凭证要求，浏览器仍会拦截响应：
-
Access-Control-Allow-Credentials: true（必须为 true，不能省略） -
Access-Control-Allow-Origin不能是*，必须是具体协议+域名（如https://myapp.com） - 建议同时设置
Access-Control-Allow-Methods和Access-Control-Allow-Headers，覆盖常用字段
这些响应头应由后端服务返回；若后端无法修改，可在 Apache 中用 Header always set 强制注入（但注意：Origin 值需动态匹配，不能硬编码为 *）。
常见错误与规避点
以下配置细节容易导致凭证失效：
- ProxyPass 路径末尾斜杠不一致（如
ProxyPass /api/ http://127.0.0.1:3000/api缺少末尾/），引发路径拼接错误，导致 Cookie 域名或路径不匹配 - 未启用
mod_headers就使用RequestHeader或Header指令，Apache 启动失败或静默忽略 - 前端地址是
http://localhost:5173，但 Apache 配置中Access-Control-Allow-Origin写成http://localhost（端口缺失），导致匹配失败 - HTTPS 前端访问 HTTP 后端（或反之），触发混合内容阻止，凭证可能被浏览器主动屏蔽
