Apache代理9999端口Express服务时出现不安全响应问题

我之前碰到过几乎一模一样的场景！结合你的描述，这个问题大概率出在Apache代理环节的HTTPS传输验证，或者Express对代理请求的识别配置上，给你几个针对性的排查和解决步骤：

1. 检查Apache代理HTTPS后端的SSL验证配置 #

如果你把请求代理到Express的HTTPS版本，Apache默认会严格验证后端服务器的SSL证书。如果Express用的是自签证书（或者证书域名和代理域名不匹配），Apache会判定这个响应不安全，直接返回ERR:insecure response。

你可以在Apache的虚拟主机配置里添加以下参数，暂时关闭对后端的SSL验证（测试环境适用），或者配置Apache信任Express的证书（生产环境推荐）：

# 代理到HTTPS的Express时添加这些配置
SSLProxyEngine on
SSLProxyVerify none
SSLProxyCheckPeerCN off
SSLProxyCheckPeerName off
SSLProxyCheckPeerExpire off

完整的虚拟主机配置示例大概是这样：

<VirtualHost *:443>
    ServerName api.aonesalons.com
    SSLEngine on
    SSLCertificateFile /path/to/your/cert.pem
    SSLCertificateKeyFile /path/to/your/key.pem

    SSLProxyEngine on
    SSLProxyVerify none
    SSLProxyCheckPeerCN off
    SSLProxyCheckPeerName off
    SSLProxyCheckPeerExpire off

    ProxyPass / https://localhost:9999/
    ProxyPassReverse / https://localhost:9999/
</VirtualHost>

2. 让Express正确识别代理后的HTTPS请求 #

即使你代理到Express的HTTP版本，也要确保Express知道当前请求是通过HTTPS访问的，否则它可能返回带有HTTP资源的响应，触发浏览器的安全警告。

在Express的入口文件里添加信任代理的配置：

const express = require('express');
const app = express();

// 信任代理服务器（Apache），这样Express能正确获取客户端的真实协议
app.set('trust proxy', true);

// 后续的路由和中间件配置...

这样req.protocol会返回https而不是http，避免Express生成不安全的链接或响应头。

3. 排查混合内容问题 #

虽然你的前端是HTTPS提供服务，但如果前端代码里调用API用的是HTTP协议的绝对路径，浏览器会判定为混合内容并阻止请求。检查前端的API请求地址，确保用的是相对路径（比如/api/xxx）或者HTTPS的绝对路径（https://api.aonesalons.com/api/xxx）。

4. 查看Apache错误日志定位细节 #

如果以上步骤都没解决问题，直接看Apache的错误日志能帮你找到根源：

# Debian/Ubuntu系统
sudo tail -f /var/log/apache2/error.log

# CentOS/RHEL系统
sudo tail -f /var/log/httpd/error.log

日志里通常会有具体的错误信息，比如证书验证失败、代理连接超时等，能帮你快速定位问题。

我当时就是因为Apache默认验证后端自签证书失败，导致返回不安全响应，加上那几个SSLProxy参数就立刻解决了！

内容的提问来源于stack exchange，提问作者systemdebt