Docker+NPM环境下FastAPI特定POST请求重定向HTTP安全问题

问题描述 #

Docker部署FastAPI，前端搭配Nginx Proxy Manager（NPM）反向代理时，多数POST请求正常，但创建记录的POST请求提交后，会被重定向至HTTP协议，Edge浏览器弹出不安全提示。登录功能及其他POST功能均正常，怀疑和表单使用模态框有关。

相关代码与配置 #

Dockerfile启动命令 #

CMD ["uvicorn", "app.main:app", "--proxy-headers", "--host", "0.0.0.0", "--port", "80"]

FastAPI路由及处理函数 #

router = APIRouter(prefix="/records")
@router.post("/")
async def create_record(request: Request, user: dict = Depends(get_current_user),
                        name: str = Form(...), description: str = Form(...),
                        db: Session = Depends(get_db)):

    if user is None:
        raise HTTPException(status_code=status.HTTP_401_UNAUTHORIZED)

    record_model = Records()
    record_model.name = name
    record_model.description = description

    db.add(record_model)
    db.commit()

    return RedirectResponse(url="/records", status_code=status.HTTP_302_FOUND)

前端表单代码 #

<form action="/records" method="POST">
    <div class="modal-body">
        <div class="mb-3">
            <label class="form-label">Name</label>
            <input type="text" class="form-control" name="name" placeholder="Your record name">
        </div>
        <div class="mb-3">
            <label class="form-label">Description</label>
            <input type="text" class="form-control" name="description" placeholder="Your record description">
        </div>
    </div>
    <div class="modal-footer">
          <a href="#" class="btn btn-link link-secondary" data-bs-dismiss="modal">
            Cancel
          </a>
          <button type="submit" class="btn btn-primary ms-auto" data-bs-dismiss="modal">
            Create new Record
          </button>
    </div>
</form>

NPM配置截图 #

问题根源与解决方案 #

核心原因 #

重定向时FastAPI没有正确识别外部的HTTPS协议，生成了HTTP的重定向地址。因为反向代理后，FastAPI默认基于容器内部的HTTP协议生成URL，没有通过代理传递的头信息感知外部的HTTPS环境。

解决步骤 #

1. 完善NPM代理头传递
   在NPM的代理配置中，进入自定义Nginx配置标签，添加以下内容，确保代理正确传递协议、主机等头部信息：

   proxy_set_header X-Forwarded-Proto $scheme;
   proxy_set_header X-Forwarded-Host $host;
   proxy_set_header X-Forwarded-For $remote_addr;
   

   （部分NPM版本会自动添加，但手动添加可避免遗漏）

2. 修正FastAPI重定向逻辑
   不要直接使用相对路径，改用request.url_for生成绝对URL，它会自动识别代理传递的协议头：

   # 假设展示记录的路由函数名为get_records，替换为你实际的路由函数名
   return RedirectResponse(url=request.url_for("get_records"), status_code=status.HTTP_302_FOUND)
   

   如果上述方法无效，也可以强制指定HTTPS协议：

   from urllib.parse import urljoin
   absolute_url = urljoin(str(request.base_url).replace("http://", "https://"), "/records")
   return RedirectResponse(url=absolute_url, status_code=status.HTTP_302_FOUND)
   

3. 优化UVicorn启动参数
   已添加--proxy-headers，可以额外添加--forwarded-allow-ips='*'（生产环境建议指定代理服务器的IP），确保UVicorn信任代理传递的头部：

   CMD ["uvicorn", "app.main:app", "--proxy-headers", "--forwarded-allow-ips='*'", "--host", "0.0.0.0", "--port", "80"]
   

4. 表单的小优化
   模态框本身不会导致协议问题，但可以省略表单的action属性，让浏览器自动使用当前页面的HTTPS协议提交：

   <form method="POST">
   

为什么其他POST请求正常？ #

登录等其他POST请求没有触发重定向，直接返回响应，因此不会暴露协议不匹配的问题；只有这个接口在提交后返回了重定向，才会出现HTTP地址的问题。

内容的提问来源于stack exchange，提问作者Yusof