反向代理下Flask的url_for生成URL异常及CAS适配问题求助

我之前在部署反向代理后的Flask应用时，也碰到过完全一样的url_for地址不对、CAS认证回调URL不匹配的问题，下面是经过验证的解决方案：

1. 配置Flask识别反向代理请求 #

Flask默认不知道自己处于反向代理之后，所以需要让它信任代理传递的请求头，并设置正确的全局参数：

from flask import Flask

app = Flask(__name__)

# 强制生成HTTPS协议的URL
app.config['PREFERRED_URL_SCHEME'] = 'https'
# 设置外部访问的域名
app.config['SERVER_NAME'] = 'foo.bar.com'
# 绑定应用的根路径（对应外部URL的/myapp前缀）
app.config['APPLICATION_ROOT'] = '/myapp'

# 信任反向代理的IP段（根据你的代理实际部署情况调整，比如内网代理可用网段）
app.config['TRUSTED_PROXIES'] = ['192.168.1.0/24']

TRUSTED_PROXIES是Flask 2.0+新增的参数，用来指定哪些代理的X-Forwarded系列头是可信的，只有信任这些头，Flask才会基于它们生成正确的外部访问URL。

2. 配置反向代理传递关键请求头 #

以Nginx为例，在反向代理的配置块中添加以下规则，把真实的请求信息传递给Flask：

location /myapp {
    proxy_pass http://192.168.1.1:8080;
    # 传递原始请求的Host头
    proxy_set_header Host $host;
    # 传递客户端的真实IP
    proxy_set_header X-Forwarded-For $remote_addr;
    # 传递原始请求的协议（http/https）
    proxy_set_header X-Forwarded-Proto $scheme;
    # 传递应用的根路径，和Flask的APPLICATION_ROOT对应
    proxy_set_header X-Script-Name /myapp;
}

完成这两步后，调用url_for('blabla', _external=True)就会自动生成https://foo.bar.com/myapp/blabla格式的URL了。

3. 适配CAS认证的回调URL要求 #

如果你的应用使用Flask-CAS这类客户端，只要上面的Flask配置正确，CAS客户端会自动基于正确的外部URL生成service参数传递给CAS服务器。

举个Flask-CAS的基础配置示例：

from flask_cas import CAS

CAS(app)
app.config['CAS_SERVER'] = 'https://your-cas-server-domain.com'
app.config['CAS_AFTER_LOGIN'] = 'home_page'

此时CAS客户端生成的认证回调URL会自动是https://foo.bar.com/myapp/login/callback（默认路径），完全符合CAS服务器要求的HTTPS格式。如果是自定义CAS集成，手动构造service URL时，直接用url_for('cas_callback', _external=True)即可生成正确地址。

内容的提问来源于stack exchange，提问作者Limath