生产与预发环境出现Rails 'unsafe redirect'错误，求排查建议

1. 核对HostAuthorization配置差异 #

• 检查生产/预发环境的config/environments/production.rb，确认是否配置了config.hosts（开发环境默认限制Host，生产环境若未配置或设为nil会禁用Host拦截）。
• 排查是否有初始化脚本、环境变量动态修改config.hosts，比如部署脚本覆盖配置，导致随机IP的Host未被拦截。
• 确认是否自定义了HostAuthorization的响应逻辑，比如替换了ActionDispatch::HostAuthorization::DefaultResponseApp，导致生产环境未直接拦截请求，而是触发了重定向流程。

2. 追踪重定向触发链路 #

• 定位/businesses/new相关的重定向代码，检查重定向语句是否未添加allow_other_host: true参数，同时确认该重定向逻辑是在HostAuthorization拦截之前还是之后执行。
• 查看生产环境请求日志（可临时开启config.log_level = :debug），追踪请求从进入到触发重定向的完整步骤，确认HostAuthorization中间件是否执行、是否有拦截日志。
• 对比开发/生产环境的中间件栈：执行rails middleware，确认HostAuthorization是否存在且位置正确（需在路由匹配前执行），是否被其他中间件提前处理请求。

3. 反向代理与请求头校验 #

• 检查Nginx等反向代理的配置，确认是否正确设置proxy_set_header Host $your_app_domain;，避免将客户端原始的随机IP Host头传递给Rails。
• 排查CDN、负载均衡器是否修改了请求Host头，导致Rails收到异常Host值，且反向代理层未做Host白名单校验。

4. 重定向逻辑的条件差异 #

• 分析触发重定向的业务逻辑，确认是否生产环境存在特定条件（如未登录状态、缓存失效）导致请求进入重定向分支，而开发环境被HostAuthorization提前拦截。
• 在生产环境模拟相同curl请求，看是否能稳定复现错误，判断是否为随机IP请求被反向代理特殊处理导致Host头异常。

5. Rails版本与环境依赖校验 #

• 确认开发、生产环境的Rails版本一致，不同版本的HostAuthorization对带端口的Host判断逻辑可能存在差异，导致生产环境未拦截异常Host。
• 排查是否有第三方gem修改了请求处理流程，比如某些认证gem提前处理请求，绕过了HostAuthorization拦截。

内容的提问来源于stack exchange，提问作者Richard Hulse