Talisman与Nginx反向代理冲突的最常见原因是：Talisman默认force_https=True，而Nginx终止HTTPS后以HTTP转发请求至Flask，若未透传X-Forwarded-Proto头或Flask未信任代理，Talisman误判协议并触发302跳转，形成死循环；根本解法是Nginx配置proxy_set_header X-Forwarded-Proto $scheme，并在Talisman初始化时设force_https=False。
为什么Talisman会和Nginx反向代理冲突
最常见的情况是：你用Nginx做HTTPS终止，Flask跑在HTTP后端，但Talisman默认开启force_https=True，它检测到request.url以http://开头，就发起302跳转；Nginx又把HTTPS请求转成HTTP发给Flask，结果来回跳转形成死循环。
根本原因不是Talisman错了，而是它没看到真实协议——Flask收不到X-Forwarded-Proto: https头，或Nginx没透传，或Flask没配置信任代理IP。
- 确认Nginx配置里有
proxy_set_header X-Forwarded-Proto $scheme;和proxy_set_header X-Forwarded-For $remote_addr; - 在Flask中设置
app.config['PREFERRED_URL_SCHEME'] = 'https'（仅开发调试时慎用） - 更稳妥的做法：初始化
Talisman时显式关闭强制跳转，交由Nginx处理HTTPS重定向：Talisman(app, force_https=False)
Content-Security-Policy（CSP）报错资源被拦截怎么办
默认content_security_policy={'default-src': "'self'"}太严格，连https://cdn.jsdelivr.net的JS、Google Fonts、甚至内联style都会被拦。浏览器控制台会报Refused to load the script 'xxx' because it violates the following Content Security Policy directive。
别直接删CSP，而是按需放宽。关键点在于：单引号必须保留，'self'不能写成"self"，且script-src和style-src要分开配。
立即学习“Python免费学习笔记（深入）”；
- 允许CDN脚本：
'script-src': "'self' https://cdn.jsdelivr.net" - 允许内联样式（临时方案）：
'style-src': "'self' 'unsafe-inline'"（上线前应移除'unsafe-inline'） - 允许内联脚本（不推荐）：
'script-src': "'self' 'unsafe-inline' 'unsafe-eval'"——这等于废掉CSP大部分价值 - 用
report-uri或report-to收集违规报告，再逐步收紧策略
Session cookie的secure标记导致本地开发无法登录
开发时用http://localhost:5000，但Talisman默认把session cookie标为secure，浏览器拒绝在HTTP连接下发送该cookie，结果每次登录完都看不到session生效，current_user始终是匿名用户。
这不是bug，是安全设计。解决方式不是关掉secure，而是分环境配置：
- 开发环境：传
secure_cookies=False（注意不是secure_cookies=None） - 生产环境：保持默认，依赖反向代理或负载均衡器确保只走HTTPS
- 如果用
flask-login，还要检查SESSION_COOKIE_SECURE是否被重复设置——Talisman会覆盖它，所以别再手动设app.config['SESSION_COOKIE_SECURE'] = True
多个中间件叠加时X-Frame-Options重复设置
如果你同时用了Talisman和自己写的before_request中间件，或者用了flask-cors，可能发现响应头里出现两个X-Frame-Options，某些浏览器会直接拒收整个响应。
Talisman内部用的是after_request钩子注入头，优先级高于多数手动设置。所以：
- 删掉所有手写的
response.headers['X-Frame-Options'] = ... - 需要用
ALLOW_FROM时，统一走Talisman的装饰器：@talisman(frame_options=ALLOW_FROM, frame_options_allow_from='https://example.com') - 如果某个路由真要完全放开iframe嵌入（比如SaaS后台的嵌入式仪表盘），用
@talisman(frame_options=None)，而不是设成DENY再覆盖
Talisman对代理链的信任配置——它默认只信任127.0.0.1，而Docker容器、K8s Pod或云厂商LB的源IP往往不在这个列表里，导致X-Forwarded-Proto被无视，HTTPS判断失效。 
