Apache反向代理导致WebSocket握手标头丢失，本质是默认不透传Upgrade/Connection头且使用HTTP/1.0转发；须启用HTTP/1.1、强制设置RequestHeader Upgrade和Connection为小写upgrade、配合SSLProxyEngine与SSLProxyServerName确保WSS连接可达，并通过抓包或日志验证头是否真正透传。

apache 反向代理导致 websocket 握手标头丢失，本质是它默认不透传 upgrade 协议相关字段，使后端无法识别升级请求。解决关键不是“修复丢失”，而是主动补全并强制转发必需头。

必须启用 HTTP/1.1 并显式透传 Upgrade 和 Connection 头

WebSocket 握手基于 HTTP/1.1 的 Upgrade 机制，Apache 默认用 HTTP/1.0 转发，直接丢弃 Upgrade 头。需在 Proxy 配置块中加入：

• ProxyPreserveHost on —— 保持原始 Host，避免后端路由错乱
• ProxySet keepalive=on —— 启用长连接，防止握手中途断连
• RequestHeader set Upgrade "websocket" —— 强制设置 Upgrade 值（注意大小写）
• RequestHeader set Connection "upgrade" —— Connection 必须为 upgrade，不能写成 Upgrade 或其他变体

SSL 代理场景下必须同步配置 SNI 和证书校验策略

若后端是 wss:// 服务，Apache 发起上游 TLS 连接时若缺失 SNI，会导致握手失败或证书不匹配，进而让 Upgrade 请求根本发不到后端。需确保：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• SSLProxyEngine on —— 启用 SSL 代理能力
• SSLProxyServerName "api.example.com" —— 域名必须加英文双引号，不可用变量或 IP
• SSLProxyVerify none（测试环境）或严格校验（生产环境）—— 避免因证书链问题中断握手
• ProxyPass / wss://api.example.com:443/ —— 目标必须是域名，且该域名可被 Apache 主机 DNS 解析

WSS 场景还需处理 Origin 头和跨域响应

浏览器发起 WSS 请求时会携带 Origin 头，部分后端（如 Spring）会校验该值。若 Apache 透传了非法 Origin（如 http://localhost），后端可能直接返回 403。应主动清空或重写：

• RequestHeader unset Origin —— 彻底移除 Origin，适用于后端不依赖来源校验的场景
• 或 RequestHeader set Origin "https://your-frontend-domain.com" —— 设为可信前端地址
• 后端响应中需包含 Access-Control-Allow-Origin，且不能同时存在多个该头（如网关与应用层重复设置）

验证标头是否真正到达后端

光配不等于生效，建议通过日志或抓包交叉确认：

• 在后端服务中打印完整请求头，检查 Upgrade、Connection、Sec-WebSocket-Key 是否存在且值正确
• 在 Apache 服务器上对出向连接抓包：tcpdump -i any port 443 and host upstream-ip -w ws-handshake.pcap，用 Wireshark 打开，过滤 http.request.method == "GET"，查看 HTTP 头是否含 Upgrade 字段
• 用 curl 模拟握手：curl -i -N -H "Upgrade: websocket" -H "Connection: upgrade" -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" -H "Sec-WebSocket-Version: 13" https://your-apache-domain/ws