Google Cloud Load Balancer HTTP转HTTPS转发含密码表单异常

原因分析 #

1. 浏览器安全校验触发：Chrome/Edge等现代浏览器对含type="password"的表单有严格HTTPS校验——只要检测到请求链路中存在HTTP环节（哪怕是跳转过程里的临时HTTP请求），就会弹出"连接不安全"警告；改成text类型时，浏览器不会触发该级别的校验，因此能正常提交。
2. FastAPI未识别外部HTTPS协议：Google Cloud Load Balancer作为反向代理，会把外部HTTPS请求转为HTTP转发给Cloud Run上的FastAPI（GCP内部流量默认走HTTP）。如果FastAPI未配置信任代理转发的协议头，会误以为当前是HTTP环境，后续生成跳转URL或处理表单时可能隐含HTTP标识，被浏览器检测到触发警告。

解决方案 #

1. 配置FastAPI信任代理转发头 #

让FastAPI识别Cloud Load Balancer发送的X-Forwarded-Proto头，以此判断外部请求的实际协议为HTTPS：

• 添加中间件修改启动代码：

from fastapi import FastAPI
from fastapi.middleware.trustedhost import TrustedHostMiddleware
from fastapi.middleware.httpsredirect import HTTPSRedirectMiddleware

app = FastAPI()

# 允许你的域名访问
app.add_middleware(TrustedHostMiddleware, allowed_hosts=["example.com"])
# 强制所有内部路由跳转使用HTTPS
app.add_middleware(HTTPSRedirectMiddleware)

• 启动Uvicorn时添加代理信任参数：
  如果用Uvicorn直接启动服务，需加上--forwarded-allow-ips='*'（GCP环境下安全），让Uvicorn信任Cloud Load Balancer的转发头：

uvicorn main:app --host 0.0.0.0 --port 8080 --forwarded-allow-ips='*'

2. 检查Cloud Load Balancer配置 #

确认负载均衡器的关键配置：

• 已开启HTTP转HTTPS自动跳转（你已配置，需确认规则覆盖所有请求）；
• 后端服务的转发规则中，已保留X-Forwarded-Proto、X-Forwarded-For等头信息，确保FastAPI能获取外部请求的协议类型。

3. 优化跳转URL生成（可选） #

在登录成功后的跳转逻辑中，显式生成HTTPS绝对URL（配置中间件后通常无需此步骤，仅作兜底）：

# 在登录函数内修改URL生成逻辑
from fastapi import Request

url = request.url_for("home").replace(scheme="https")
response = RedirectResponse(url=url, status_code=status.HTTP_302_FOUND)

内容的提问来源于stack exchange，提问作者oholimoli