本文详解 Flask 后端返回 PDF 路径时的常见错误：直接传递文件系统绝对路径（如 FILE_STORAGE/xxx.pdf）会导致前端 iframe 发起非法 HTTP 请求而 404；正确做法是使用 url_for('static', filename=...) 生成可公开访问的静态资源 URL。
本文详解 flask 后端返回 pdf 路径时的常见错误：直接传递文件系统绝对路径（如 file_storage/xxx.pdf）会导致前端 iframe 发起非法 http 请求而 404；正确做法是使用 url_for('static', filename=...) 生成可公开访问的静态资源 url。
在 Flask 应用中，通过 <iframe> 嵌入 PDF 是常见需求，但极易因路径处理不当导致“Not Found”错误。从你提供的日志可见关键线索：
FILE_STORAGE/Matric_Certificate.pdf ... GET /auth/FILE_STORAGE/Matric_Certificate.pdf HTTP/1.1" 404 -
这说明浏览器尝试向 /auth/FILE_STORAGE/... 这一不存在的路由发起 GET 请求——而 Flask 默认不会自动将任意文件系统路径映射为 Web 可访问 URL。document.path 存储的是服务端文件系统相对路径（如 "FILE_STORAGE/Matric_Certificate.pdf"），若直接赋值给 <iframe src="{{ document }}">，浏览器会将其解释为相对于当前页面 URL 的相对路径，最终拼接出非法请求地址（如 /auth/FILE_STORAGE/...），自然 404。
✅ 正确解法：确保 PDF 文件存放于 Flask 的 static/ 目录下，并通过 url_for() 生成合法静态资源 URL
假设你的 PDF 实际位于项目根目录下的 static/FILE_STORAGE/Matric_Certificate.pdf，则后端应修改为：
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
from flask import url_for
@auth.route("/building/view-file")
def view_file():
filename = request.args.get("file")
building = request.args.get("building")
document = Document.query.filter_by(name=filename).first()
# ✅ 关键修正：用 url_for 生成静态资源 URL，而非直接传文件系统路径
pdf_url = url_for('static', filename=document.path) # 如 'FILE_STORAGE/Matric_Certificate.pdf'
return render_template(
"building/Building/view_file.html",
document=pdf_url,
building=building
)对应 HTML 保持简洁即可：
<iframe
src="{{ document }}"
width="100%"
height="600px"
style="border: 1px solid #ddd;">
</iframe>
<button class="tenant_card_buttons" hx-get="/auth/building-info-expanded"
hx-vals='{"building":"{{building}}"}' hx-target="#modal">Back</button>
<button class="tenant_card_buttons" onclick="closeModal()">Close</button>⚠️ 注意事项：
- 文件位置必须合规：document.path 的值（如 "FILE_STORAGE/Matric_Certificate.pdf"）必须是相对于 static/ 目录的路径，且该文件真实存在于 your_flask_app/static/FILE_STORAGE/Matric_Certificate.pdf。
- 不要暴露敏感路径：切勿将 os.path.abspath(...) 或数据库中存储的绝对路径直接返回前端；url_for('static', ...) 是安全、可控的公开访问方式。
- MIME 类型与跨域：确保 PDF 文件可通过浏览器直接访问（例如在新标签页打开 http://localhost:5000/static/FILE_STORAGE/xxx.pdf 能正常下载/预览）。若部署到 Nginx/Apache，需配置静态文件服务；如遇跨域问题，需后端设置 Access-Control-Allow-Origin。
-
安全性补充（推荐）：生产环境建议对 document.path 做白名单校验或路径规范化（防止 ../ 目录遍历攻击），例如：
from werkzeug.utils import safe_join safe_path = safe_join("FILE_STORAGE", filename) # 限定子目录
总结：iframe 的 src 必须是有效的 HTTP URL，而非服务端文件路径。Flask 的 url_for('static', filename=...) 是连接文件系统与 Web 资源的标准桥梁——善用它，即可彻底解决 PDF 加载 404 问题。
