生产环境FastAPI反向代理Grafana报403 Origin不允许问题

API 探路者

2026-8-29

问题原因

核心拦截逻辑来自FastAPI挂载的CORSMiddleware跨域校验组件：
- 本地测试时访问地址为http://localhost:3000，请求携带的Origin头刚好在配置的允许源列表中，校验直接通过，因此功能正常。
- 生产环境返回403的直接原因是请求到达FastAPI时携带的Origin值不在允许列表内：你的Nginx配置同时接收example.com和www.example.com两个域名的请求，但代码里的origins列表仅配置了非www的https://example.com，漏加了https://www.example.com。由于你开启了allow_credentials=True，CORSMiddleware会对Origin做严格的精确字符串匹配，任何协议、域名、端口的差异都会触发403拦截。你强行把Origin修改为http://localhost:3000的临时操作刚好命中了允许列表，所以能绕过校验。
现有配置存在设计缺陷，放大了跨域拦截问题：
- /grafana路径的反向代理路由仅注册了GET/POST/DELETE三种请求方法，没有包含CORS预检必需的OPTIONS方法，即使Origin匹配，部分浏览器触发的预检请求也会被拦截。
- 你同时在Nginx和FastAPI两侧重复配置CORS规则，头信息会产生冲突；且Nginx的add_header指令默认不会给4xx/5xx响应添加跨域头，会导致浏览器侧报出模糊的CORS错误，掩盖FastAPI返回403的真实原因。
- /grafana本身是你域名下的同域路径，正常同域请求不需要经过CORS校验，让全局CORS中间件处理这部分请求属于多余配置，反而会引入无意义的拦截。

修复方案

修正FastAPI侧配置
- 补全CORS允许源列表，把所有生产环境用到的域名全部加入，包括带www前缀的https://www.example.com。
- 给/grafana反向代理路由添加OPTIONS方法支持，保证CORS预检请求能被正常处理：
```
app.add_route("/grafana/{path:path}", _reverse_proxy, ["GET", "POST", "DELETE", "OPTIONS"])
```
- 最优调整是将/grafana路径排除在全局CORSMiddleware的校验范围外：这部分是同域反向代理，本身不存在跨域场景，不需要CORS处理，可以通过自定义中间件判断请求路径，若以/grafana开头则直接跳过CORS逻辑，交给反向代理处理。
- 在反向代理逻辑中，转发请求到Grafana时主动将Origin头设置为Grafana本地服务地址（如http://localhost:3030），避免Grafana自身的CORS校验拦截请求，不要依赖Nginx侧硬编码修改Origin。

修正Nginx侧配置

删除/grafana location块里多余的CORS配置，移除proxy_hide_header Access-Control-Allow-Origin;、add_header Access-Control-Allow-Origin $http_origin;以及临时添加的proxy_set_header Origin http://localhost:3000;，CORS逻辑统一在FastAPI侧处理，避免两边规则冲突。

给所有代理到FastAPI的location块补全标准转发头，保证后端能拿到正确的客户端请求信息：

location /api {
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_pass http://localhost:5000;
}

location /grafana {
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_pass http://localhost:5000;
}

可选优化
可以将Grafana的身份校验逻辑从FastAPI代理层迁移到Nginx，通过auth_request模块实现鉴权，性能比Python层反向代理更高，也能避免上层代理的头处理兼容问题。

内容的提问来源于stack exchange，提问作者Paul Côté