Nginx反向代理部署的Flask应用集成Okta OpenID Connect报400错误如何解决

400错误的核心原因是Nginx做SSL终止后，没有将用户原始请求的HTTPS协议信息传递给后端Flask应用。Flask从Gunicorn收到的是本地HTTP请求，生成重定向地址时默认使用HTTP协议，导致和Okta后台配置的HTTPS重定向URI不匹配，触发校验失败。

1. 修改Nginx配置 #

在现有的location配置块中新增请求头传递规则，将原始协议、端口信息透传给后端：

server {
    listen 443 ssl;
    ssl_certificate /etc/ssl/certs/nginx.crt;
    ssl_certificate_key /etc/ssl/private/nginx.key;
    server_name hashme.com;
    access_log  /var/log/nginx/example.log;

    location / {
        proxy_pass http://127.0.0.1:8000;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # 新增以下两行配置
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Port $server_port;
    }
}

修改完成后执行 nginx -s reload 重载配置生效。

2. 配置Flask信任代理头 #

Flask默认不会信任X-Forwarded-*系列请求头，需要手动开启代理支持，在你的Flask应用启动代码中添加以下配置：

from flask import Flask
app = Flask(__name__)

# 强制生成URL时使用HTTPS协议
app.config['PREFERRED_URL_SCHEME'] = 'https'
# 信任本地Nginx代理传递的请求头
app.config['TRUSTED_PROXIES'] = ['127.0.0.1']

如果你使用的是Flask-OIDC、Authlib这类封装好的Okta集成库，无需额外修改库配置，只要Flask本身能正确识别HTTPS协议，自动生成的redirect_uri就会使用HTTPS前缀。

修改完成后重启Gunicorn服务，重新触发登录流程，查看跳转Okta的请求参数中redirect_uri是否已变为HTTPS开头，和Okta后台配置的重定向地址一致即可正常登录。

内容的提问来源于stack exchange，提问作者Paul Mahon