Flask开发服务器启用HTTPS必须显式传入ssl_context参数，否则访问https://localhost:5000会报ERR_SSL_PROTOCOL_ERROR或空响应；常用方式有ssl_context='adhoc'（本地调试）和ssl_context=('cert.pem','key.pem')（真实证书），生产环境应由Nginx等反向代理处理HTTPS。
Flask开发服务器启用HTTPS必须传
参数
不加这个参数，哪怕你手动在浏览器输
，也会直接报
或空响应——Werkzeug开发服务器默认只监听HTTP，不会自动降级或兜底。常见错误是只改了
和
，却漏掉
。
两种常用方式：
：适合本地调试，需先
；每次启动生成新证书，浏览器会反复提示“不安全”，CI/容器中禁用
：使用真实证书，注意顺序不能反；路径必须可读，相对路径出错时典型报错是
或
生产环境别让Flask直接扛HTTPS
Werkzeug开发服务器不是为生产设计的，强制它处理TLS会暴露实际风险：不支持HTTP/2、无法复用连接、无OCSP装订、证书热更新困难。更隐蔽的问题是私钥权限——如果
权限是
而非
，可能直接泄露密钥。
压测时若出现CPU飙升、TLS握手超时增多，或
返回
，大概率是这个原因。
立即学习
“
Python免费学习笔记（深入）
”；
正确做法是用Nginx/Caddy做反向代理，Flask只监听
的HTTP。此时Flask完全不需要任何SSL配置，所有加密、重定向、HSTS头由前端代理统一处理。
HTTP自动跳转HTTPS的关键是识别
错误做法是写
——在Nginx代理后，Flask收到的永远是HTTP请求，
的scheme恒为
，会导致无限重定向循环。
稿定在线PS
PS软件网页版
下载
必须依赖代理传来的头信息：
Nginx配置里要加
Flask中用
判断是否已走HTTPS
重定向逻辑应封装成WSGI中间件，而不是塞进每个
，否则容易遗漏路由
用
替代已停更的
已不再维护，虽然代码还能跑，但缺乏对现代TLS特性的适配（比如HSTS预加载、Strict-Transport-Security头的细粒度控制）。推荐迁移到
，它是Google Cloud Platform维护的活跃项目。
基础用法很简单：
但它真正关键的点在于：默认只在
时生效，避免开发时误跳转；同时支持
等扩展安全头，不是单纯做个301跳转就完事。
容易被忽略的是——如果你用了Cloudflare等CDN，
可能被覆盖或缺失，这时得配合
参数指定可信IP段，否则
会拒绝重定向。
ssl_contexthttps://localhost:5000ERR_SSL_PROTOCOL_ERRORhostportssl_contextssl_context='adhoc'pip install pyopensslssl_context=('fullchain.pem', 'privkey.pem')FileNotFoundErrorssl.SSLError: [SSL] PEM libprivkey.pem644600curl -I https://api.example.comEmpty reply from server127.0.0.1:5000X-Forwarded-Protoif not request.url.startswith('https'):request.urlhttpproxy_set_header X-Forwarded-Proto $scheme;request.headers.get('X-Forwarded-Proto') == 'https'@app.routeFlask-TalismanFlask-SSLifyFlask-SSLifyFlask-Talismanfrom flask_talisman import Talisman
Talisman(app, force_https_permanent=True)app.debug == Falsecontent_security_policyX-Forwarded-Prototrust_proxyTalisman