AWS上Nginx代理Flower并拦截非法HOST请求的配置问题

我之前碰到过几乎一模一样的Nginx配置冲突问题，结合你的情况来看，主要是两个核心问题：一是用了Nginx官方不推荐的if判断Host的反模式写法，二是Flower的代理路径配置和启动参数不匹配。下面给你一步步解决的方案：

1. 修复Flower的Nginx代理配置 #

你启动Flower时加了--url_prefix=flower，这意味着Flower的所有接口都是以/flower/开头的（比如/flower/dashboard、/flower/api/tasks）。但你当前的Nginx配置里做了rewrite ^/flower/(.*)$ /$1 break;，这会把/flower/xxx转换成/xxx转发给Flower——而Flower根本没有/xxx这样的路径，这会导致请求无法正确路由，甚至因为websocket连接失败而超时。

修改你的flower.conf为以下内容：

location /flower/ {
    # 不需要rewrite，直接转发到Flower的url_prefix路径
    proxy_pass http://localhost:5555;
    proxy_redirect off;
    # 传递必要的请求头
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    # 支持Flower的websocket实时更新
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_http_version 1.1;
    # 增加超时时间，避免长连接被中断
    proxy_read_timeout 3600;
    proxy_connect_timeout 30s;
}

如果你更倾向于保留rewrite规则，那可以去掉Flower启动命令里的--url_prefix=flower，启动命令改成：

python3 -m celery -A myproj flower --port=5555

两种方式选其一即可，推荐第一种（保留url_prefix），这样Flower的路径更清晰，也避免和Django的路由冲突。

2. 替换非法Host拦截的反模式配置 #

Nginx官方明确不推荐在server块中使用if ($host !~ ...)这种写法，因为它会干扰后续location的配置逻辑，甚至引发一些难以排查的冲突。正确的做法是用多server块来处理：一个专门匹配合法Host，一个默认server块拦截非法请求。

修改你的nginx-app.conf，删除对reject_hosts.conf的引用，然后调整server块：

# Nginx需连接的上游组件
upstream django {
    server unix:/home/app.sock; # uwsgi socket
}
include redirect_ssl.conf; #301 SSL重定向

# 仅处理合法HOST的server块
server {
    listen 8080;
    listen [::]:8080;
    # 列出所有合法的HOST
    server_name 127.0.0.1 localhost mydomain.com myotherdomain.com my.subdomain.com;
    charset utf-8;
    # 最大上传大小
    client_max_body_size 3M; # 可按需调整
    include django_aliases.conf; # 媒体和静态文件目录
    include flower.conf; # 代理flower
    include django_root.conf; # Django上游
}

# 默认server块：拦截所有非法HOST，直接返回444（关闭连接）
server {
    listen 8080 default_server;
    listen [::]:8080 default_server;
    server_name _;
    return 444;
}

这样配置后，所有匹配不到合法Host的请求都会被默认server块拦截，直接返回444关闭连接，完全不会影响合法请求的路由。

3. 验证配置并重启服务 #

最后一步是验证配置正确性并重启服务：

1. 测试Nginx配置是否合法：

sudo nginx -t

2. 如果测试通过，重启Nginx：

sudo systemctl restart nginx

3. 确保Flower服务正常运行，可以通过supervisorctl检查状态：

supervisorctl status flower

这样修改后，你就能同时实现两个需求：通过Nginx代理Flower（无需开放新端口），并且拦截所有携带非法HTTP_HOST头的请求，不会再出现超时或功能冲突的问题。

内容的提问来源于stack exchange，提问作者std''OrgnlDave