Карим Кьятлоттьяви

Решение вашей проблемы лежит в плоскости проксирования. Я с apache давно уже не якшаюсь, но на nginx это бы выглядело примерно так.

server {
    listen 80;
    server_name server2;

    location /catalog {
        proxy_pass http://server1;
        proxy_redirect off;

        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $http_host;
    }
}

Возможно придётся адаптировать код каталога к такому окружению.
А для апача попробуйте посмотреть тут — https://httpd.apache.org/docs/current/mod/mod_prox... или погуглить самостоятельно на русскоязычных источниках.

Пожалуй, можно определить два подхода к тестированию безопасности приложения — чёрный и белый ящики. Разница между ними заключается в точке зрения на объект тестирования. Белый ящик предполагает, что вы знаете, что находится внутри объекта, то есть, у вас есть доступ к исходникам приложения. Чёрный же предлагает вам обращаться к объекту, как будто бы вы не в курсе, что там находится внутри, по сути, вы тестируете публичные интерфейсы.

От выбранного подхода можно выбрать инструменты для тестирования. Для чёрного ящика используются довольно универсальные программы, которые долбят сайт на наличие известных уязвимостей по списку. Их предположительно можно найти по запросу web security scanner. Для белого используются методы статического анализа. Насчёт PHP не знаю, но для Ruby есть brakeman, который пробегается по коду и ищет потенциально уязвимые места. Это в качестве примера.

Можно всё тестировать и изучать вручную — это качественнее с одной стороны, но предъявляет больше требований как по времени, так и по квалификации.

Тут скорее надо дать айфону доступ до локального сайта. Либо на wifi-роутере (к которому подключён и айфон и сам комп) настраивать особые правила, либо расшарить сайт через какой-нибудь ngrok.