为什么 django 会忽略来自线路的 HTTP_X_FORWARDED_PROTO 但在测试中却不会？

如果 HTTP_X_FORWARDED_PROTO 通过网络传输，为什么 django 会忽略它？

我在 settings.xml 中添加了以下配置：

# make sure we know when we are secure when we are behind a proxy
SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')

我做了一个测试来测试如果

def testHttpSupport(self):
    url = reverse('configuration-list')
    response = self.client.get(url, HTTP_X_FORWARDED_PROTO='https')
    cfg = response.data[0]
    cfg_url = cfg['url']
    self.assertTrue(cfg_url.startswith('https'))

这很好用。返回对象的url以https开头。

但是如果我尝试：

curl -v -H 'HTTP_X_FORWARDED_PROTO: https' http://localhost:8000/api/users/
...
> GET /api/users/ HTTP/1.1
> Host: localhost:8000
> User-Agent: curl/7.51.0
> Accept: */*
> HTTP_X_FORWARDED_PROTO: https
>
* HTTP 1.0, assume close after body
< HTTP/1.0 200 OK
< Date: Mon, 03 Jul 2017 16:22:04 GMT
< Server: WSGIServer/0.2 CPython/3.6.1
< Content-Type: application/json
< Allow: GET, POST, OPTIONS
< Vary: Accept, Cookie
< X-Frame-Options: SAMEORIGIN
< Content-Length: 197 
<
* Curl_http_done: called premature == 0
* Closing connection 0
[{"url":"http://localhost:8000/api/users/1/",...

为什么它不像我的单元测试中那样返回基于“https://”的网址？

问题是标题名称。当通过 WSGI 服务器访问 Django 时，您应该使用X-Forwarded-Proto标题而不是HTTP_X_FORWARDED_PROTO:

curl -v -H 'X-Forwarded-Proto: https' http://localhost:8000/api/users/

WSGI协议规定必须遵循相关的CGI规范，其中规定：

名称以“HTTP_”开头的元变量包含读取的值 如果使用的协议是 HTTP，则来自客户端请求标头字段。 HTTP头字段名转换为大写，有全部 出现的“-”替换为“_”，并在前面添加“HTTP_” 给出元变量名称。

(source https://datatracker.ietf.org/doc/html/draft-coar-cgi-v11-03#section-4.1.18)

因此，每当您使用 WSGI 服务器时，X-Forwarded-Proto标题自动转换为HTTP_X_FORWARDED_PROTO在传递给 Django 之前。当你通过HTTP_X_FORWARDED_PROTO标题代替，HTTP_仍必须根据规范预先添加。因此，您最终会得到一个名为HTTP_HTTP_X_FORWARDED_PROTO在姜戈.

self.client不是 WSGI 服务器，通过 kwargs 传入的值将直接插入到 WSGI 环境中，无需任何处理。因此，在这种情况下，您必须自己进行转换并实际使用HTTP_X_FORWARDED_PROTO key:

CGI规范

通过 **extra 发送的标头应遵循 CGI 规范。例如，模拟从浏览器到服务器的 HTTP 请求中发送的不同“Host”标头应作为 HTTP_HOST 传递。

(source https://docs.djangoproject.com/en/1.11/topics/testing/tools/#django.test.Client.get)