14.3 Nginx 反向代理配置

Flask教程：Nginx反向代理配置详细指南，从安装到HTTPS设置

Flask 中文教程

本教程为Flask初学者详细讲解如何使用Nginx作为反向代理部署应用。涵盖Nginx安装、基础配置、反向代理规则设置（转发请求）、静态文件托管和HTTPS配置，提供步骤和示例，确保简单易懂。

Flask部署：Nginx反向代理配置详解

引言

在Flask应用开发完成后，部署到生产环境是至关重要的一步。Nginx是一个高性能的Web服务器和反向代理，常用于Flask部署，因为它能高效处理静态文件、负载均衡和HTTPS加密。本教程将逐步指导您如何配置Nginx来代理Flask应用，确保安全性和性能。

Nginx安装

在Linux系统上安装

Nginx支持多种操作系统，这里以常见的Ubuntu和CentOS为例。

Ubuntu/Debian系统

# 更新包列表
sudo apt update
# 安装Nginx
sudo apt install nginx -y
# 启动Nginx服务
sudo systemctl start nginx
# 设置开机自启
sudo systemctl enable nginx

CentOS/RHEL系统

# 安装EPEL仓库（如果需要）
sudo yum install epel-release -y
# 安装Nginx
sudo yum install nginx -y
# 启动Nginx服务
sudo systemctl start nginx
sudo systemctl enable nginx

安装完成后，访问 http://your_server_ip 应看到Nginx欢迎页面，确认安装成功。

Nginx基础配置

Nginx的配置文件通常位于 /etc/nginx/nginx.conf 和 /etc/nginx/sites-available/ 目录下（Ubuntu）。

配置文件结构

nginx.conf: 主配置文件，包含全局设置如工作进程数、错误日志等。
sites-available/: 存储可用站点配置文件。
sites-enabled/: 通过符号链接启用站点配置。

常用命令：

# 检查配置语法是否正确
sudo nginx -t
# 重新加载配置（不影响正在处理的请求）
sudo systemctl reload nginx
# 停止服务
sudo systemctl stop nginx

基础设置通常无需修改，但了解结构有助于后续配置。

反向代理规则设置（转发请求）

反向代理允许Nginx接收客户端请求，然后转发到后端的Flask应用（例如运行在Gunicorn或uWSGI上）。

创建Flask应用配置文件

在 /etc/nginx/sites-available/ 下创建一个新文件，例如 flask_app：

server {
    listen 80;  # 监听80端口（HTTP）
    server_name your_domain.com www.your_domain.com;  # 替换为您的域名或IP

    location / {
        proxy_pass http://127.0.0.1:5000;  # 转发请求到Flask应用，假设运行在5000端口
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

解释：

proxy_pass: 指定后端Flask应用的地址。例如，如果使用Gunicorn运行Flask，命令可能是 gunicorn -w 4 -b 127.0.0.1:5000 app:app。
proxy_set_header: 传递客户端信息到后端，确保Flask能获取正确IP和协议。

启用站点配置

# 创建符号链接到sites-enabled目录（Ubuntu）
sudo ln -s /etc/nginx/sites-available/flask_app /etc/nginx/sites-enabled/
# 测试配置
sudo nginx -t
# 重新加载Nginx
sudo systemctl reload nginx

现在，访问 http://your_domain.com 应该显示Flask应用内容。

静态文件托管

Nginx可以高效地托管静态文件（如图片、CSS、JS），减轻Flask服务器的负担。

在之前的配置中添加 location 块：

server {
    listen 80;
    server_name your_domain.com www.your_domain.com;

    location / {
        proxy_pass http://127.0.0.1:5000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    location /static/ {
        alias /path/to/your/flask/app/static/;  # 替换为Flask应用静态文件目录的绝对路径
        expires 30d;  # 设置缓存时间
    }
}

alias: 指定静态文件目录的路径。确保Nginx用户（通常是 www-data 或 nginx）有读取权限。
expires: 设置客户端缓存时间，减少服务器负载。

保存后重新加载Nginx：

sudo systemctl reload nginx

静态文件现在将通过Nginx直接提供，而不是Flask应用。

HTTPS配置

启用HTTPS可以加密数据传输，提高安全性。推荐使用Let's Encrypt免费证书。

步骤1：安装Certbot

Certbot是Let's Encrypt的客户端。

Ubuntu/Debian

sudo apt install certbot python3-certbot-nginx -y

CentOS/RHEL

sudo yum install certbot python3-certbot-nginx -y

步骤2：获取SSL证书

运行Certbot命令自动配置Nginx：

sudo certbot --nginx -d your_domain.com -d www.your_domain.com

按照提示操作，Certbot会自动修改Nginx配置并设置证书。

步骤3：手动配置HTTPS（可选）

如果您想手动编辑配置，更新之前的 server 块：

server {
    listen 443 ssl;  # 监听443端口（HTTPS）
    server_name your_domain.com www.your_domain.com;

    ssl_certificate /etc/letsencrypt/live/your_domain.com/fullchain.pem;  # 证书路径
    ssl_certificate_key /etc/letsencrypt/live/your_domain.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;  # 使用安全的TLS版本
    ssl_ciphers HIGH:!aNULL:!MD5;  # 加密套件

    location / {
        proxy_pass http://127.0.0.1:5000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    location /static/ {
        alias /path/to/your/flask/app/static/;
        expires 30d;
    }
}

server {
    listen 80;
    server_name your_domain.com www.your_domain.com;
    return 301 https://$server_name$request_uri;  # HTTP重定向到HTTPS
}

解释：

第一个 server 块处理HTTPS请求，配置SSL证书。
第二个 server 块将HTTP请求（端口80）重定向到HTTPS，确保安全访问。
证书路径根据Let's Encrypt安装自动生成，通常位于 /etc/letsencrypt/live/。

步骤4：测试配置

sudo nginx -t
sudo systemctl reload nginx

访问 https://your_domain.com 应看到Flask应用，并显示安全锁图标。

完整示例配置文件

以下是一个整合了所有功能的示例配置文件（保存为 /etc/nginx/sites-available/flask_app）：

# HTTPS配置
server {
    listen 443 ssl;
    server_name example.com www.example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES256-GCM-SHA384;

    # 反向代理到Flask应用
    location / {
        proxy_pass http://127.0.0.1:5000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # 静态文件托管
    location /static/ {
        alias /var/www/flask_app/static/;
        expires 30d;
        access_log off;  # 可选：关闭访问日志以减少负载
    }
}

# HTTP重定向到HTTPS
server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$server_name$request_uri;
}

常见问题与调试

配置错误：使用 sudo nginx -t 检查语法。
权限问题：确保Nginx用户有权访问静态文件目录。
Flask应用未运行：确认Flask应用（如Gunicorn）正在监听指定端口。
查看日志：Nginx错误日志位于 /var/log/nginx/error.log，访问日志在 /var/log/nginx/access.log。

总结

本教程详细介绍了如何使用Nginx作为反向代理部署Flask应用，包括安装、基础配置、反向代理设置、静态文件托管和HTTPS配置。这些步骤能帮助您构建一个安全、高效的Flask生产环境。实践时，请根据实际域名和路径调整配置。定期更新证书和Nginx版本以确保安全。

如需进一步学习，可以探索Nginx的高级功能如负载均衡或缓存优化。

上一章 14.2 WSGI 服务器配置

下一章 14.4 自动化部署