前端不能直接调用百度地图API，因为AK必须绑定域名白名单，写在前端会暴露密钥导致盗用、配额超限或封禁；后端转发核心是保护密钥，而非绕过跨域，所有带AK的接口均需服务端中转。
为什么不能让前端直接调用百度地图API
因为百度地图JavaScript API强制要求使用ak（Access Key）且该密钥**仅限绑定域名白名单**，而一旦把ak写在前端代码里，就等于公开暴露——别人抓包就能盗用，触发配额超限或被封禁。后端转发的核心目的不是“绕过跨域”，而是“保护密钥”。
- 前端直连百度接口会返回
401 Unauthorized或INVALID_REQUEST错误，日志里常带refuse by ak - 百度不支持CORS，所以浏览器会拦截响应（即使HTTP状态码是200）
- 所有需携带
ak的接口（如/geocoding/v3/、/place/v2/search）都必须走服务端中转
Flask路由如何安全转发百度API请求
关键点在于：只透传必要参数，不暴露原始ak，并过滤掉可能被滥用的字段（比如callback、output）。用requests发GET请求时，把ak拼进URL，但禁止用户输入ak。
- 用
os.getenv("BAIDU_AK")从环境变量读取密钥，绝不在代码里硬编码 - 对用户传入的
query、region等参数做白名单校验，例如限制region只能是中文城市名或全国 - 强制指定
output=json，忽略前端传来的output参数，防止JSONP注入 - 示例路由：
@app.route("/api/baidu/geocode")<br>def baidu_geocode():<br> query = request.args.get("address")<br> if not query or len(query) > 100:<br> return {"error": "invalid address"}, 400<br> params = {<br> "address": query,<br> "city": request.args.get("city", ""),<br> "output": "json",<br> "ak": os.getenv("BAIDU_AK")<br> }<br> resp = requests.get("https://api.map.baidu.com/geocoding/v3/", params=params)<br> return resp.json(), resp.status_code
如何避免Flask转发时丢失HTTP头或状态码
百度API返回的Content-Type是application/json;charset=UTF-8，但Flask默认用text/html响应；另外，百度可能返回400或500错误码，如果只用resp.json()会丢掉原始状态码，导致前端无法区分“地址不存在”和“服务不可用”。
python-docx
下载
python-docx Skill功能概述python-docx Skill是一项面向实际任务的技能，主要用于本Skill提供使用python-docx生成专业Word文档的标准方法和最佳实践；生成安全服务方案文档；核心要点生成技术架构设计文档；生成任何需要专业排版的Word文档；核心库 : python-docx；使用与执行辅助库 : docx.shared , docx.enum , docx.oxml.ns；标准代码模板；1. 文档初始化；2. 字体设置（必须！它将相关步骤、工具调用和结果整理方式集
- 必须显式返回
resp.status_code，否则全是200 - 用
Response(resp.content, status=resp.status_code, mimetype=resp.headers.get("Content-Type"))完整透传响应体和头 - 特别注意：
resp.json()在百度返回非JSON（如HTML错误页）时会抛JSONDecodeError，应捕获并记录日志 - 不要用
jsonify()包装百度响应——它会强制设Content-Type: application/json，覆盖百度原头
本地开发时如何调试转发链路
常见卡点是：本地Flask跑在http://localhost:5000，但百度AK绑定了https://myapp.com，导致测试时一直refuse by ak。这不是跨域问题，是AK域名不匹配。
立即学习“Python免费学习笔记（深入）”；
- 百度控制台为开发环境单独申请一个测试用
ak，绑定localhost和127.0.0.1（注意端口不用填） - 用
curl -v http://localhost:5000/api/baidu/geocode?address=北京站直测Flask路由，看是否返回百度原始JSON - 在Flask中加
app.logger.info(f"Forwarding to Baidu: {url}")，确认拼出的URL含正确ak且无多余参数 - 如果百度返回
{"status":3,"message":"APP NOT AUTHORIZED"}，99%是ak没生效或域名未备案
ak绑定范围，前端就只剩黑盒报错。 
