Rails 6部署Elastic Beanstalk配置Certbot后登录报422错误怎么解决

从日志可以直接定位问题根源：Nginx作为SSL终止层，和后端Puma服务通过HTTP协议通信时，没有正确传递协议标识头，导致Rails识别到的请求协议是HTTP，和前端发起请求的HTTPS Origin不匹配，触发CSRF校验失败，返回422错误。

1. 修复Nginx配置 #

你当前的nginx.conf存在两个需要调整的问题：

• 存在重复的80端口server块，直接删除最下方多余的80端口server块，仅保留最上方全局跳转HTTPS的80块即可，即可消除日志中的server name冲突告警
• 你自定义的location appserver块不会生效，Elastic Beanstalk默认的根路径转发规则优先级更高，你配置的X-Forwarded-Proto头并没有作用到实际转发到Puma的请求上。你需要修改/etc/nginx/conf.d/elasticbeanstalk/目录下的代理配置文件（通常为01_application_proxy.conf），在默认的proxy配置段中添加以下头配置：

proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Forwarded-Ssl on;

修改完成后执行nginx -s reload重载配置。

2. 配置Rails信任反向代理头 #

Rails默认不会信任来自反向代理的X-Forwarded-*头，需要在config/environments/production.rb中添加以下配置：

# 允许你的站点域名
config.hosts << "example.com" << "www.example.com"
# 信任本地Nginx代理请求
config.action_dispatch.trusted_proxies = %w(127.0.0.0/8 ::1)

修改完成后重启Puma服务。

3. 正确配置config.force_ssl #

生产环境建议将config.force_ssl设置为true。你之前开启后站点无法加载是因为Rails没有识别到HTTPS协议，不断触发HTTPS跳转导致重定向循环。完成前面两步配置后，Rails可以正确识别当前请求已经是HTTPS，不会再触发重复跳转，同时config.force_ssl会自动开启HSTS、安全Cookie等安全特性，符合生产环境安全要求。

完成上述配置后重新测试登录功能，Rails日志中不会再出现Origin和base_url不匹配的告警，422错误会消失。

内容的提问来源于stack exchange，提问作者Chakron