Apache 2.4反向代理未转发API_KEY等自定义请求头如何解决

Apache 2.4虚拟主机配置反向代理规则后，认证系统注入的API_KEY等自定义请求头未传递到后端服务，当前代理配置如下：

ProxyPassMatch ^/(.*\.php(/.*)?)$ fcgi://127.0.0.1:8999/var/www/production/public/$1

Apache的mod_proxy_fcgi模块默认遵循CGI/1.1规范实现：请求头名称中的下划线会和环境变量名的分隔符产生歧义，因此默认会直接丢弃名称包含下划线的自定义请求头，API_KEY这类带下划线命名的头就属于被默认拦截的范围。
若自定义头不含下划线仍丢失，需要检查是否被mod_headers的前置规则移除、或WAF/安全模块拦截。

方案1：直接放行下划线请求头（Apache 2.4.24+ 推荐） #

在对应虚拟主机配置段内添加如下规则，无需修改业务侧头命名：

# 放开请求头命名限制，允许下划线格式的头被处理
HttpProtocolOptions Unsafe

# 显式声明需要传递的下划线请求头，单头配置示例
SetEnvIfNoCase ^API_KEY$ . HTTP_API_KEY=$0

# 若存在多个带下划线的自定义头，可使用批量放行规则
SetEnvIfNoCase ^[A-Za-z0-9-]+_[A-Za-z0-9-]+$ . HTTP_$0

配置保存后，执行apachectl configtest校验语法无误，重启Apache服务即可生效。

方案2：重写请求头命名（兼容所有Apache 2.4版本） #

如果Apache版本低于2.4.24，可通过mod_headers在转发前将下划线命名的头转换为HTTP标准的中划线命名，再传递给后端：

• 先确认模块已加载，在主配置中取消以下模块的注释：

LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_fcgi_module modules/mod_proxy_fcgi.so
LoadModule headers_module modules/mod_headers.so

• 在虚拟主机配置中添加头重写规则，原有代理规则保留：

# 将API_KEY的值赋值给标准命名的Api-Key头，转发给后端
RequestHeader set Api-Key "%{API_KEY}e" env=API_KEY

# 原有代理规则保持不变
ProxyPassMatch ^/(.*\.php(/.*)?)$ fcgi://127.0.0.1:8999/var/www/production/public/$1

配置校验通过后重启Apache，后端服务读取Api-Key头即可拿到原API_KEY的值。

在后端站点根目录放置测试脚本，访问对应地址查看头是否正常传递：

<?php
// 输出所有接收到的请求头
var_dump(getallheaders());

内容的提问来源于stack exchange，提问作者Wige