Python Web应用在Docker+Nginx中的HTTPS安全部署

一、核心步骤

1. 证书准备

   • 获取SSL证书（如Let's Encrypt）
   • 证书文件结构：

     /certs
       ├── fullchain.pem    # 证书链
       └── privkey.pem     # 私钥
     

2. Nginx配置 (nginx.conf)

server {
    listen 80;
    server_name yourdomain.com;
    return 301 https://$host$request_uri;  # HTTP重定向到HTTPS
}

server {
    listen 443 ssl;
    server_name yourdomain.com;

    ssl_certificate /etc/nginx/certs/fullchain.pem;
    ssl_certificate_key /etc/nginx/certs/privkey.pem;
    
    # 安全强化配置
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    
    # 安全头部
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Content-Type-Options nosniff;
    add_header X-Frame-Options DENY;

    location / {
        proxy_pass http://webapp:5000;  # 指向Python容器
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

1. Docker部署结构

project/
├── app/
│   ├── Dockerfile          # Python应用镜像
│   └── src/                # 应用代码
├── nginx/
│   ├── Dockerfile          # Nginx镜像
│   └── nginx.conf          # 配置文件
├── certs/                  # SSL证书目录
└── docker-compose.yml

1. 关键Dockerfile

# Python应用Dockerfile
FROM python:3.9-slim
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
COPY src/ .
CMD ["gunicorn", "-b", "0.0.0.0:5000", "app:app"]

# Nginx Dockerfile
FROM nginx:alpine
COPY nginx.conf /etc/nginx/nginx.conf
RUN rm /etc/nginx/conf.d/default.conf

1. Docker Compose配置 (docker-compose.yml)

version: '3.8'
services:
  webapp:
    build: ./app
    expose:
      - "5000"

  nginx:
    build: ./nginx
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./certs:/etc/nginx/certs
    depends_on:
      - webapp

二、安全强化措施

1. TLS优化

   • 禁用SSLv3/TLSv1.0等不安全协议
   • 使用前向保密(FS)加密套件
   • 启用OCSP Stapling：ssl_stapling on;

2. 容器安全

   # 在Python Dockerfile中添加
   RUN adduser --disabled-password appuser
   USER appuser  # 非root运行
   

3. HTTP头加固

   • HSTS强制HTTPS
   • 禁用MIME嗅探
   • 防止点击劫持

三、部署流程

1. 构建镜像：

   docker-compose build
   

2. 启动服务：

   docker-compose up -d
   

3. 验证配置：

   docker exec -it [nginx-container] nginx -t
   

4. 安全测试：

   • 使用SSL Labs测试SSL配置
   • 扫描HTTP头安全策略

最佳实践：定期更新证书（可搭配Certbot自动化），保持基础镜像更新，使用Docker安全扫描工具（如Trivy）进行漏洞扫描。

此方案提供企业级安全防护，满足PCI DSS等合规要求，通过Nginx实现SSL终端卸载，降低Python应用性能开销。