Firebase Cloud Workstations环境下Django集成google-auth-oauthlib遇insecure_transport错误（已配置HTTPS及SECURE_PROXY_SSL_HEADER）

我太懂你这种明明外部用HTTPS访问，却被框架判定为HTTP环境的憋屈感了！从你贴的调试输出来看，问题的核心非常明确：Django没有正确识别到外部的HTTPS请求，导致google-auth-oauthlib误以为当前是不安全的HTTP环境，进而抛出了insecure_transport错误。

问题根源拆解 #

从你的调试日志里能抓到几个关键异常点，直接点明了问题所在：

• HTTP_HOST: 127.0.0.1:8000：Django收到的是来自本地代理的请求，并非外部直接请求
• HTTP_X_FORWARDED_PROTO: None：你配置了SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')，但Firebase Cloud Workstations的代理根本没传递这个协议头
• request.is_secure(): False & wsgi.url_scheme: http：Django因此判定当前是HTTP环境，触发了google-auth的安全检查机制

针对性解决方案 #

下面给你几个按优先级排序的修复方案，你可以逐一尝试：

1. 适配Firebase的代理转发头配置

首先，Firebase Cloud Workstations的代理可能用了不同的头来传递外部协议，或者你需要让Django明确信任这个代理。在settings.py中添加/调整以下配置：

# 告诉Django使用代理传递的主机头
USE_X_FORWARDED_HOST = True

# 尝试监听Firebase可能传递的其他协议头（部分代理会用X-Forwarded-Protocol替代X-Forwarded-Proto）
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTOCOL', 'https')

# 确保Django信任代理的IP（测试阶段可以用*，生产环境建议配置Firebase的代理IP范围）
ALLOWED_HOSTS = ['*']

2. 视图内临时修正请求协议（快速验证方案）

如果上面的配置没生效，可以在回调视图里手动修正Django的请求协议识别，绕过google-auth的安全检查：

@login_required
def google_oauth_callback(request):
    # 强制修正请求的scheme为HTTPS
    request.scheme = 'https'
    request.META['wsgi.url_scheme'] = 'https'
    # 手动添加X_FORWARDED_PROTO头，适配你原有的SECURE_PROXY_SSL_HEADER配置
    request.META['HTTP_X_FORWARDED_PROTO'] = 'https'

    # 再初始化flow
    flow = get_flow(request)
    try:
        # 直接用你配置的HTTPS回调URL，避免request.build_absolute_uri()生成HTTP链接
        flow.fetch_token(authorization_response=settings.GOOGLE_REDIRECT_URI + '?' + request.META['QUERY_STRING'])
        # 后续的token保存逻辑...
    except Exception as e:
        # 错误处理逻辑...

3. 强制google-auth-oauthlib忽略环境检查（兜底方案）

如果前面的方法都不行，可以直接让google-auth的flow跳过insecure_transport检查：

def get_flow(request):
    flow = Flow.from_client_config(
        {
            "web": {
                "client_id": settings.GOOGLE_CLIENT_ID,
                "client_secret": settings.GOOGLE_CLIENT_SECRET,
                "redirect_uris": [settings.GOOGLE_REDIRECT_URI],
                "auth_uri": "https://accounts.google.com/o/oauth2/auth",
                "token_uri": "https://oauth2.googleapis.com/token",
            }
        },
        scopes=settings.GOOGLE_CALENDAR_SCOPES,
    )
    # 强制关闭不安全传输检查
    flow.oauth2session._client._insecure_transport = False
    return flow

4. 补充Django安全配置（辅助强化）

在settings.py中添加以下配置，让Django更倾向于HTTPS环境：

SECURE_SSL_REDIRECT = True
SESSION_COOKIE_SECURE = True
CSRF_COOKIE_SECURE = True

注意：生产环境使用SECURE_SSL_REDIRECT时，要确保代理配置正确，避免出现循环重定向问题。

总结 #

问题本质是Firebase的代理没有把外部HTTPS的请求信息正确传递给Django，导致Django内部误判为HTTP环境。优先尝试调整settings.py的代理头配置，不行再用视图内修正的方法，最后再考虑强制跳过检查的兜底方案。

内容来源于stack exchange