如何在Apache HTTPS代理后配置Pyramid应用

我来帮你完善这个Apache配置，确保运行在mod_wsgi-express上的Pyramid应用能通过HTTPS正常对外提供服务。首先给你一个完整的可运行配置，再逐一解释关键部分：

<VirtualHost *:443>
    ServerName myapp.org

    # SSL 基础配置（替换成你的证书路径）
    SSLEngine on
    SSLCertificateFile /path/to/your/certificate.crt
    SSLCertificateKeyFile /path/to/your/private.key
    # 如果使用链式证书，添加下面一行
    # SSLCertificateChainFile /path/to/chain.crt

    # 关闭正向代理，仅启用反向代理
    ProxyRequests Off
    # 保留客户端请求的Host头，让Pyramid能正确识别域名
    ProxyPreserveHost On

    # 设置代理传递的协议头，让Pyramid知道请求是HTTPS过来的
    RequestHeader set X-Forwarded-Proto "https"
    RequestHeader set X-Forwarded-Port "443"

    # 反向代理规则：将/myapp路径映射到内部Pyramid应用
    ProxyPass /myapp http://172.31.15.111:6543/myapp/
    ProxyPassReverse /myapp http://172.31.15.111:6543/myapp/

    # 允许代理访问内部服务器
    <Proxy http://172.31.15.111:6543/myapp/>
        Require all granted
    </Proxy>
</VirtualHost>

# 可选：将HTTP请求重定向到HTTPS
<VirtualHost *:80>
    ServerName myapp.org
    Redirect permanent / https://myapp.org/
</VirtualHost>

关键配置说明： #

• SSL相关设置：SSLEngine on开启HTTPS，你需要替换证书和密钥的路径为实际文件位置。如果用Let's Encrypt的证书，路径通常是/etc/letsencrypt/live/myapp.org/fullchain.pem和/privkey.pem。
• ProxyPreserveHost On：这个很重要，它会让后端的Pyramid应用收到原始的Host头（也就是myapp.org），而不是代理服务器的内部IP，避免应用生成错误的内部URL。
• X-Forwarded-Proto头：告诉Pyramid当前请求是通过HTTPS访问的，这样应用生成的所有链接都会是HTTPS格式，不会出现混合内容问题。
• ProxyPass和ProxyPassReverse：注意路径末尾的斜杠要匹配，确保/myapp下的所有子路径都能正确映射到内部应用。ProxyPassReverse会修正后端应用返回的响应头，让客户端看到的是myapp.org而不是内部IP。
• HTTP转HTTPS重定向：添加第二个VirtualHost块可以自动将所有HTTP请求转到HTTPS，提升安全性。

Pyramid应用侧的必要配置 #

为了让Pyramid正确识别代理过来的请求信息（比如客户端真实IP、HTTPS协议），需要在应用的配置文件（比如production.ini）里添加：

[app:main]
# 其他现有配置...
trust_proxy = true
# 可选：指定信任的代理服务器IP范围，增强安全性
trusted_proxies = 127.0.0.1 172.31.0.0/16

如果是通过代码配置Configurator，也可以这样设置：

from pyramid.config import Configurator

def main(global_config, **settings):
    config = Configurator(settings=settings)
    # 信任代理发送的X-Forwarded-*头
    config.set_trusted_proxies(['127.0.0.1', '172.31.0.0/16'])
    # 其他配置路由、视图的代码...
    return config.make_wsgi_app()

最后检查步骤 #

1. 确保Apache已经启用了必要的模块：

   a2enmod proxy proxy_http ssl headers
   

2. 测试配置文件是否合法：

   apache2ctl configtest
   

3. 重启Apache服务：

   systemctl restart apache2
   

这样你的Pyramid应用就能通过https://myapp.org/myapp/正常对外访问了。

内容的提问来源于stack exchange，提问作者QLands - Carlos Quiros