仅在生产中缺少授权标头

Question

我有以下工作流程：

我有一个api/token[POST]，它接受表单数据(电子邮件和密码(并返回和访问令牌以及刷新令牌。

然后我有另一个端点api/users/info[GET](具有Headers'Authorization': 'Bearer ...(，它返回用户信息。在本地测试时，两个端点都可以工作。

在对我部署的服务器进行测试时，只有获取令牌的服务器才能工作

这是api/users/info:的代码

@API_BP.route('/users/info', methods=['GET'])
@fresh_jwt_required
def users_info():
user_identity = get_jwt_identity()
curr_user = (SDB.session.query(User)
.filter_by(email=user_identity).one_or_none())
return jsonify({
'greeting': 'Hello, World!',
'foo': 'bar',
})

此外，以下是我的配置：

JWT_TOKEN_LOCATION = ['cookies', 'headers']
JWT_COOKIE_CSRF_PROTECT = True
JWT_COOKIE_SECURE = True 
JWT_ACCESS_COOKIE_NAME = "my_access_cookie"
JWT_REFRESH_COOKIE_NAME = "my_refresh_cookie"
JWT_ACCESS_CSRF_COOKIE_NAME = "my_csrf_access_token"
JWT_REFRESH_CSRF_COOKIE_NAME = "my_csrf_refresh_token"
JWT_ACCESS_CSRF_HEADER_NAME = "X-MY-TOKEN"

我得到的错误是：

{
"msg": "Missing JWT in cookies or headers (Missing cookie "my_access_cookie"; Missing Authorization Header)"
}

我正在使用Postman来达到这些端点。我已将api/token收到的Token授权设置。以下是python中的情况：

import requests
url = "http://my_url.com/api/users/info"
payload = {}
headers = {
'Authorization': 'Bearer eyJ0eXAiOiJKV1QiLCJhrtyuzI1NiJ9.eyJpYXQiOjE2MjU5MTg0MTEsIm5iZiI6MTYyNTkxODQxMSwianRpfghZi00YTcyLWIxZTYtZGMxYTRjNDhkOThhIiwiZXhwIjoxNjI1OTE5NjExLCJpZGVudGl0eSI6ImFsZnJlZG9Adml2ZWJlbmVmaXRzLmNvbSIsImZyZXNoIjp0cnVlLCsdfghXBlIjoiYWNjZXNzIiwiY3NyZiI6ImQyNTQ0NjY0LTFlOGUtNDY5NS1hY2I4LTE2MzIxMDZlNDY0MiJ9.WT-EWlMtZZKoNyiXYxa3xdfghjg7r7ys'
}
response = requests.request("GET", url, headers=headers, data = payload)
print(response.text.encode('utf8'))

我能做些什么来确保第二个请求GET在prod中工作？

Answer 1

如果您在生产中使用modwsgi，您可能需要确保启用了WSGIPAssAuthorization On配置选项。根据您在prod中运行flask应用程序所使用的软件(Apache/nginx/uwsgi/unicon/etc(，可能会有类似的选项。

Answer 2

问题是verify_jwt_in_request()将查找标头Authorization而不是X-Forwarded-Authorization。

在本地，头应该是Authorization，但在生产中，因为我们使用的是docker/nginx，所以头会更改为X-Forwarded-Authorization。我解决这个问题的方法是设置配置JWT_HEADER_NAME = "X-Forwarded-Authorization"