Flask开发服务器需显式传入ssl_context参数才能启用HTTPS，如ssl_context=('cert.pem', 'key.pem')或ssl_context='adhoc'；不配置则访问https://localhost:5000会报ERR_SSL_PROTOCOL_ERROR。
Flask开发服务器如何直接启用HTTPS（不依赖Nginx）
Flask内置的Werkzeug开发服务器支持HTTPS，但必须显式传入ssl_context参数，不能靠环境变量或配置项自动开启。不指定该参数时，即使访问https://localhost:5000也会连接失败或被浏览器拦截。
常见错误是只改了app.run(host='0.0.0.0', port=5000)却没加SSL上下文，结果看到ERR_SSL_PROTOCOL_ERROR或空响应。
- 使用自签名证书调试：传入
ssl_context='adhoc'（需安装pyopenssl） - 使用真实证书文件：传入元组
ssl_context=('fullchain.pem', 'privkey.pem')，注意顺序不能反 - 证书路径必须是绝对路径或相对于当前工作目录的可读路径；相对路径出错时通常报
FileNotFoundError或ssl.SSLError: [SSL] PEM lib - 开发时避免用
ssl_context='adhoc'在CI/容器中运行——它每次启动都生成新证书，导致浏览器反复提示“不安全”
生产环境为什么不该让Flask直接处理SSL
Werkzeug服务器不是为生产设计的，强制它扛HTTPS会带来实际风险：不支持HTTP/2、无法复用连接、无OCSP装订、证书热更新困难，且一旦配置错误（比如私钥权限为644而非600），可能直接泄露密钥。
典型表现是压测时CPU飙升、TLS握手超时增多，或curl -I https://api.example.com返回Empty reply from server。
立即学习“Python免费学习笔记（深入）”；
- 正确做法是用Nginx或Caddy反向代理，Flask只监听
127.0.0.1:5000的HTTP - 此时Flask无需任何SSL配置，所有加密、重定向、HSTS头由前端代理完成
- 若必须用Gunicorn+HTTPS，需搭配
--keyfile和--certfile参数，且确保Gunicorn版本≥21.2（旧版对TLS 1.3支持不全）
如何让HTTP请求自动跳转到HTTPS（中间件方案）
当Flask跑在反向代理后，真实请求已是HTTP，但用户期望访问http://时被301重定向到https://。关键在于识别代理传来的原始协议，而不是看request.url的scheme。
错误做法是直接检查request.url.startswith('https')——这在代理后永远为False，导致无限重定向循环。
- 设置Nginx时必须加
proxy_set_header X-Forwarded-Proto $scheme; - Flask中用
request.headers.get('X-Forwarded-Proto') == 'https'判断是否已加密 - 重定向逻辑应放在WSGI中间件里，而非每个路由装饰器中，避免遗漏
- 示例中间件：
class HTTPSTransformer: def __init__(self, app): self.app = app def __call__(self, environ, start_response): if environ.get('HTTP_X_FORWARDED_PROTO') == 'https': environ['wsgi.url_scheme'] = 'https' return self.app(environ, start_response)然后app.wsgi_app = HTTPSTransformer(app.wsgi_app)
为什么url_for生成的链接仍是HTTP
Flask默认按request.scheme生成URL，而代理转发后该值仍为http。即使你用中间件修正了wsgi.url_scheme，url_for也不会自动感知，除非显式告知。
现象是模板里{{ url_for('api.users') }}输出http://example.com/api/users，破坏混合内容策略（Mixed Content）。
- 最简解法：启动Flask时设
app.config['PREFERRED_URL_SCHEME'] = 'https' - 更健壮的做法是结合
X-Forwarded-Proto动态设置，在before_request中：if request.headers.get('X-Forwarded-Proto') == 'https': request.environ['wsgi.url_scheme'] = 'https' - 注意：此配置会影响所有
url_for调用，包括静态文件路径；若部分API需保留HTTP（如内网健康检查），需单独处理
真正麻烦的从来不是加几行SSL配置，而是确认整个请求链路里每个环节——从客户端DNS解析、TLS握手、代理头传递、到Flask内部scheme推导——都严格对齐。漏掉一个X-Forwarded-Proto头，或Nginx里少写一个proxy_set_header，就足以让HTTPS变成摆设。
