Flask JWT Extended Cookie Auth在WSGI下返回500而非401的问题

问题背景 #

开发环境中，基于Flask+Flask-JWT-Extended搭建的API在未授权请求时会正确返回401状态码及提示：

{
    "msg": "Missing cookie \"access_token_cookie\""
}

但部署到Apache+WSGI生产环境后，未授权请求返回500内部服务器错误，响应内容为：

{
    "message": "Internal Server Error"
}

查看Apache错误日志，实际触发的是flask_jwt_extended.exceptions.NoAuthorizationError: Missing cookie "access_token_cookie"，但自定义的错误处理器并未生效。

示例端点代码：

class TasksAPI(Resource):
    @jwt_required()
    def get(self):
        active = request.args.get("active")
        current_app.logger.info("Get all tasks")
        tasksdb = db.query(models.Tasks).all()
        app = celery_app.celery.control.inspect()
        taskscelery = app.active()
        try:
            tasklistcelery = []
            for key, values in taskscelery.items():
                for x in values:
                    tasklistcelery.append(x)
        except AttributeError:
            pass
        tasklist = unpickle_list(tasksdb)
        if active is not None:
            if active.lower() == "true":
                active_ids = []
                active_tasks = []
                for task in tasklistcelery:
                    active_ids.append(task["id"])
                for task in tasklist:
                    if task["id"] in active_ids:
                        active_tasks.append(task)
                return Response(status=200, response=json.dumps(active_tasks), mimetype="application/json")
            else:
                return Response(status=400, response="Active is not true")
        return Response(status=200, response=json.dumps(tasklist), mimetype="application/json")

解决方案 #

1. 适配Flask-RESTful的错误处理机制 #

Flask-RESTful会覆盖Flask默认的错误处理逻辑，若使用Api对象注册路由，需将错误处理器绑定到Api实例而非Flask app：

from flask_restful import Api
from flask_jwt_extended.exceptions import JWTExtendedException

# 假设你的Api实例是这样创建的
api = Api(app)

@api.errorhandler(JWTExtendedException)
def handle_jwt_auth_errors(e):
    return {
        'message': str(e),
        'status_code': e.status_code
    }, e.status_code

2. 确保Apache传递认证相关Cookie #

在Apache虚拟主机配置中添加以下指令，确保WSGI传递认证相关的Cookie和头信息：

WSGIPassAuthorization On

同时检查Cookie的属性配置：生产环境若使用HTTPS，需确保JWT Cookie开启Secure属性，否则浏览器可能不会发送Cookie到服务器：

app.config['JWT_COOKIE_SECURE'] = True
app.config['JWT_COOKIE_HTTPONLY'] = True
app.config['JWT_COOKIE_SAMESITE'] = 'Lax'  # 根据业务需求选择Strict/Lax/None

3. 注册全局异常处理器 #

若上述方法无效，可注册Flask全局异常处理器，捕获所有异常并针对性处理JWT相关错误：

from flask import jsonify
from flask_jwt_extended.exceptions import JWTExtendedException

@app.errorhandler(Exception)
def global_exception_handler(e):
    if isinstance(e, JWTExtendedException):
        return jsonify({
            'message': str(e),
            'status_code': e.status_code
        }), e.status_code
    # 其他异常返回通用500错误
    return jsonify({'message': 'Internal Server Error'}), 500

4. 验证JWT令牌位置配置 #

确保Flask-JWT-Extended明确配置从Cookie获取令牌：

app.config['JWT_TOKEN_LOCATION'] = ['cookies']
app.config['JWT_ACCESS_COOKIE_NAME'] = 'access_token_cookie'  # 与你的Cookie名称一致

内容的提问来源于stack exchange，提问作者maschbauerkl