使用Nginx时Flask表单出现CSRF令牌不匹配错误的排查求助

• Nginx未正确传递请求头，导致Token上下文不一致
  Flask生成和验证CSRF Token时，依赖请求的Host头、服务器域名配置以及反向代理场景下的X-Forwarded-*头。如果Nginx没传对这些头，Flask会基于错误的上下文生成Token，前端拿到的自然和后端验证时的不匹配。
  解决：在Nginx的location配置里加以下内容，确保传递必要的头：

proxy_set_header Host $host;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_set_header X-Forwarded-Proto $scheme;

同时在Flask里开启反向代理支持：

app.config['TRUSTED_PROXIES'] = ['127.0.0.1']  # 换成你的Nginx服务器IP
app.config['PREFERRED_URL_SCHEME'] = 'https'  # 用HTTPS的话加上这条

• Nginx缓存了带Token的页面，导致Token过期
  如果Nginx对包含表单的页面做了静态缓存，用户加载的页面里的Token可能已经过期，或者和当前会话的Token不匹配。
  解决：给表单页面禁用缓存，在Nginx的对应location里加缓存控制头：

location /your-form-path {
    proxy_pass http://your-flask-upstream;
    add_header Cache-Control "no-cache, no-store, must-revalidate";
    add_header Pragma "no-cache";
    add_header Expires "0";
}

• Flask的Cookie域名配置错误
  如果Flask的SESSION_COOKIE_DOMAIN和Nginx配置的域名不一致，浏览器会无法正确携带会话Cookie，后端拿不到会话里的Token，自然验证失败。
  解决：检查Flask配置，确保Cookie域名和Nginx的域名一致：

app.config['SESSION_COOKIE_DOMAIN'] = 'your-domain.com'

• Nginx的跳转/重写规则破坏了请求路径或Cookie
  比如强制HTTPS跳转时，要是没保留完整请求路径，或者跳转过程中丢失了Cookie，也会导致Token不匹配。
  解决：检查Nginx的rewrite、return规则，确保跳转时保留路径和Cookie。比如强制HTTPS的配置应该是：

server {
    listen 80;
    server_name your-domain.com;
    return 301 https://$host$request_uri;
}

用$request_uri保留完整路径，避免路径丢失。

• Nginx限制了POST请求体大小
  如果client_max_body_size设置过小，POST请求的表单数据可能被截断，CSRF Token字段不完整，自然验证失败。
  解决：在Nginx的http或server块里设置合适的请求体大小：

client_max_body_size 10M;  # 根据实际需求调整

内容的提问来源于stack exchange，提问作者GLTomas