HTTPS下Apache反向代理转发POST请求至Tomcat返回403求助

核心问题定位 #

从现象和日志来看：

• HTTP环境下全流程正常，HTTPS仅POST请求返回403
• curl发送POST请求正常，但浏览器请求被拦截
• Tomcat日志显示请求已正常处理返回200，Apache日志标注403来自后端

说明问题出在HTTPS请求头传递差异或后端安全策略针对浏览器请求的拦截，以下从Apache配置和SpringBoot后端两部分给出解决方案：

Apache配置层面调整 #

1. 传递HTTPS协议标识头 #

在HTTPS虚拟主机的<LocationMatch "/api">块中添加请求头，确保后端识别原始请求协议：

<LocationMatch "/api">
  ProxyPreserveHost on
  RequestHeader set X-Forwarded-Proto "https"
</LocationMatch>

后端可能因无法识别HTTPS协议，触发仅允许HTTPS的安全规则，或导致CSRF校验逻辑异常。

2. 修正Rewrite规则语法错误 #

现有RewriteCond存在语法错误，%{REQUEST_URI}$1写法无效，修正为：

RewriteEngine On
RewriteCond %{REQUEST_URI} ^/external/geocode/json
RewriteCond %{QUERY_STRING} ^(address=.*&)key=.*$
RewriteRule ^ %{REQUEST_URI}?%1key=REMOVED [NE,PT,END]

错误规则可能导致POST请求被意外重写或拦截。

3. 排查mod_security拦截 #

若启用了mod_security，临时关闭API路径的规则引擎测试：

<LocationMatch "/api">
    SecRuleEngine Off
</LocationMatch>

若关闭后恢复正常，需调整mod_security规则，避免误拦截浏览器POST请求的头或体内容。

SpringBoot后端层面调整 #

1. 正确处理转发头 #

在application.properties中配置转发头策略，确保后端识别Apache传递的真实请求信息：

server.forward-headers-strategy=framework

或通过配置类实现：

@Configuration
public class WebConfig {
    @Bean
    public ForwardedHeaderFilter forwardedHeaderFilter() {
        return new ForwardedHeaderFilter();
    }
}

2. 调整CSRF安全配置 #

若启用Spring Security的CSRF防护，浏览器请求会携带CSRF相关标识，但curl不会，可能触发拦截。针对API路径关闭CSRF（若业务无需）：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.ignoringRequestMatchers("/api/**"))
            // 其他安全配置
        ;
        return http.build();
    }
}

3. 检查请求体大小限制 #

确保后端未限制过小的POST请求体大小，在application.properties中添加：

spring.servlet.multipart.max-request-size=10MB
server.tomcat.max-swallow-size=-1

验证步骤 #

1. 修改Apache配置后重启服务：systemctl restart httpd
2. 修改SpringBoot配置后重启后端
3. 用浏览器测试POST请求，查看状态码
4. 核对Apache和Tomcat日志，确认请求流转正常

内容的提问来源于stack exchange，提问作者Eric S.