Nginx与Gunicorn间SSL/非SSL场景下的Cookie传输问题

1. Nginx与前端HTTPS、与Gunicorn HTTP时的Cookie传输流程 #

• 前端 → Nginx：因为是HTTPS连接，Cookie（包括sessionid）会被封装在SSL/TLS加密隧道中传输，全程处于加密状态，第三方无法窃听。
• Nginx → Gunicorn：Nginx会先解密整个HTTPS请求，将Cookie以明文形式通过HTTP连接转发给Gunicorn，最终传递给Django。如果Nginx和Gunicorn在同一台服务器（比如本地127.0.0.1通信），这个明文传输的安全风险极低；但如果是跨服务器的HTTP连接，则存在被窃听的可能。

2. Nginx是否会解密Cookie并传递给Django？ #

是的。Nginx作为反向代理，接收前端的HTTPS请求后，会完成SSL/TLS握手并解密整个请求内容（包括Cookie），随后将解密后的请求（含明文Cookie）通过HTTP转发给Gunicorn，Django最终收到的是明文状态的Cookie并进行处理。

3. Nginx与Gunicorn能否共用同一份SSL证书？ #

没必要，也不推荐这么做：

• 你的自签名证书作用是加密前端与Nginx之间的通信，而Nginx和Gunicorn若为本地通信（如127.0.0.1），HTTP传输已足够安全，额外加SSL纯属冗余，会增加性能开销。
• 若强行在两者间启用HTTPS，理论上可以复用证书，但需要额外配置Gunicorn的SSL支持，大幅复杂化部署流程。另外你的证书是针对127.0.0.1:8000的，而Nginx通常监听HTTPS默认端口443，证书的适配也会带来额外麻烦。

内容的提问来源于stack exchange，提问作者mushi