Apache在SSL终止反向代理后强制启用HTTPS的问题排查

问题背景 #

我在Traefik作为SSL终止反向代理的环境下部署了Apache 2.4.57：Traefik接收外部HTTPS请求，将其转发到Apache的80端口，同时传递X-Forwarded-Proto和X-Forwarded-For请求头。

但核心问题是：Apache无法识别请求实际使用的是HTTPS协议，导致所有RewriteRule返回的302响应中，location字段始终用HTTP协议（例如location: http://myhostname.org/mypath），进而引发应用的混合内容（MixedContent）错误。

我尝试在VirtualHost配置中添加SetEnvIf X-Forwarded-Proto "https" HTTPS=on强制开启HTTPS变量，甚至直接用SetEnv HTTPS on，但都无效。简化后的配置如下：

<VirtualHost *:80>
    SetEnvIf X-Forwarded-Proto "https" HTTPS=on
    RewriteEngine On

    # 调试：查看X-Forwarded-Proto头和HTTPS变量值
    RewriteRule ^/debug$ /debug?xfp=%{HTTP:X-Forwarded-Proto}&https=%{HTTPS} [R,L]

    # 其他大量RewriteRule配置...
</VirtualHost>

用curl测试的结果显示：

curl -v https://myhostname.org/debug 2>&1 |grep location
< location: http://myhostname.org/debug?xfp=https&https=off

原因分析 #

Apache的内置HTTPS变量是服务器初始化阶段确定的全局变量，它的值由Apache实际监听的协议端口决定（这里监听80端口，默认就是off）。而SetEnvIf属于请求处理阶段设置的用户级环境变量，无法覆盖Apache内置的服务器变量。所以无论怎么用SetEnvIf或SetEnv设置HTTPS，%{HTTPS}取到的始终是初始的off值。

解决方案 #

方案1：自定义协议变量（我最终采用的方案） #

通过自定义HTTP_SCHEME环境变量，在所有RewriteRule中手动拼接正确的协议前缀：

<VirtualHost *:80>
    # 根据X-Forwarded-Proto设置自定义协议变量
    SetEnvIf X-Forwarded-Proto https HTTP_SCHEME=https
    # 未经过代理的请求默认使用http
    SetEnvIf HTTP_SCHEME ^$ HTTP_SCHEME=http

    RewriteEngine On

    # 调试规则验证变量有效性
    RewriteRule ^/debug$ %{ENV:HTTP_SCHEME}://%{HTTP_HOST}/debug?xfp=%{HTTP:X-Forwarded-Proto}&scheme=%{ENV:HTTP_SCHEME} [R,L]

    # 所有需要返回绝对URL的RewriteRule，都用自定义变量拼接协议
    RewriteRule ^/foo$ %{ENV:HTTP_SCHEME}://%{HTTP_HOST}/bar [R,L]
</VirtualHost>

这种方法需要修改所有返回绝对URL的RewriteRule，但能从根本上确保location头使用正确的协议。

方案2：针对单个RewriteRule做协议判断 #

如果不想批量修改规则，可以为每个RewriteRule添加RewriteCond判断X-Forwarded-Proto，然后在规则中强制指定协议：

<VirtualHost *:80>
    RewriteEngine On

    # 调试规则示例
    RewriteCond %{HTTP:X-Forwarded-Proto} =https
    RewriteRule ^/debug$ https://%{HTTP_HOST}/debug?xfp=https&https=on [R,L]

    RewriteCond %{HTTP:X-Forwarded-Proto} !https
    RewriteRule ^/debug$ http://%{HTTP_HOST}/debug?xfp=http&https=off [R,L]

    # 其他RewriteRule示例：根据代理头返回对应协议的location
    RewriteCond %{HTTP:X-Forwarded-Proto} =https
    RewriteRule ^/foo$ https://%{HTTP_HOST}/bar [R,L]

    RewriteCond %{HTTP:X-Forwarded-Proto} !https
    RewriteRule ^/foo$ http://%{HTTP_HOST}/bar [R,L]
</VirtualHost>

这种方式无需全局修改变量，但每个规则都要额外添加判断条件，适合规则数量不多的场景。

未来优化方向 #

目前apache/httpd的PR 191正在推进，后续可能会提供更简便的方式，让Apache直接通过X-Forwarded-Proto头自动更新内置的HTTPS变量，无需手动修改现有RewriteRule配置。

内容的提问来源于stack exchange，提问作者Noky