Flask需通过ProxyFix中间件识别Nginx代理的真实请求信息，正确配置X-Forwarded头、APPLICATION_ROOT及WSGI服务器，并规范Nginx的proxy_pass斜杠位置与静态资源处理，才能实现路径代理、HTTPS识别、Cookie安全与WebSocket支持。
Flask服务如何被Nginx正确代理到指定路径
Flask应用默认监听 127.0.0.1:5000，但Nginx反向代理时若路径处理不当，会导致静态文件404、重定向跳转到原始端口、url_for() 生成错误链接等问题。
关键不是“能不能代理”，而是Flask是否知道自己正被前置网关包裹——它需要知道真实请求的协议、主机名和路径前缀。
- 必须在Nginx配置中透传
X-Forwarded-For、X-Forwarded-Proto、X-Forwarded-Host和X-Forwarded-Prefix（如果用了子路径） - Flask应用里要启用
ProxyFix中间件，并明确指定信任的代理IP段（如trusted_hosts=['127.0.0.1']），否则request.remote_addr会变成Nginx本机IP，且url_for()仍用http://localhost:5000 - 若Nginx将Flask挂载在
/api/v1/下，需在ProxyFix中设x_prefix=1，并确保Flask的APPLICATION_ROOT配置与之匹配，否则url_for('index')生成的路径会漏掉前缀
Nginx配置里location块写错导致502或静态资源404
常见错误是把 proxy_pass 后面的斜杠位置搞混，直接影响后端收到的 request.path。
比如Nginx配置了 location /api/ { proxy_pass http://flask_backend/; }，那访问 /api/users 会被转发为 http://flask_backend/users；但如果写成 proxy_pass http://flask_backend;（末尾无斜杠），就会转发为 http://flask_backend/api/users——而Flask没注册这个路由，直接404。
快速生成专业的 Python 脚本和应用代码。一键创建完整项目结构，支持CLI、API、爬虫、Bot、Django等多种项目类型，包含完整的项目结构、配置文件、依赖管理、测试、README和文档。
立即学习“Python免费学习笔记（深入）”；
- 统一建议：proxy_pass 末尾加
/，并在Flask中用APPLICATION_ROOT = '/api'显式声明上下文路径 - 静态文件（如
/static/xxx.js）若由Flask提供，需确保Nginx不拦截该路径，或显式用location /static/指向磁盘目录，避免经WSGI徒增开销 - WebSocket支持需额外开启：
proxy_http_version 1.1+proxy_set_header Upgrade $http_upgrade+proxy_set_header Connection "upgrade"
Flask启动方式影响Nginx健康检查和连接复用
用 flask run 默认启动的开发服务器不支持长连接、无连接池、不兼容HTTP/1.1 keep-alive，Nginx上游连接容易频繁断开，日志里反复出现 upstream prematurely closed connection。
- 生产必须换 WSGI 服务器，如
gunicorn或uWSGI；推荐gunicorn --bind 127.0.0.1:8000 --workers 4 --keep-alive 5 --timeout 30 - Nginx upstream里要配
keepalive 32，并在proxy_http_version 1.1基础上加proxy_set_header Connection ''，否则keep-alive会被关闭 - 健康检查别用
GET /简单探测——Flask可能返回200但实际卡死；改用带超时的curl -m 2 http://127.0.0.1:8000/healthz，并在Flask里实现轻量检查（如DB连接ping）
跨域、Cookie和HTTPS头在Nginx+Flask链路中容易失效
当Nginx作为TLS终结点时，Flask收不到 https 协议信息，set_cookie(secure=True) 会拒绝发送Cookie；同样，前端发来的 Origin 头若被Nginx过滤或重写，CORS中间件就无法正确响应。
- Nginx必须透传原始
Origin头：proxy_pass_request_headers on（默认已开），且不要手动add_header Access-Control-Allow-Origin ...——应交由Flask的flask-cors处理，否则无法做动态匹配 - 强制Flask识别HTTPS：
proxy_set_header X-Forwarded-Proto https，并在Flask中用ProxyFix解析该头，否则request.is_secure为False，secure=True的Cookie不会下发 - 若Nginx做了域名泛解析或host rewrite，需同步更新
X-Forwarded-Host，否则Flask生成的密码重置链接可能指向错误域名
真正麻烦的从来不是配置几行Nginx，而是每个环节的信任边界——谁负责校验协议、谁决定路径归属、谁管理Cookie安全属性。漏掉任意一个头，都可能让登录态突然失效，或让API在浏览器里能调通、curl里却报403。
