HTTPS安全传输：为OCR WebUI添加SSL证书教程

HTTPS安全传输：为OCR WebUI添加SSL证书教程

📖 项目简介

在数字化办公与智能识别日益普及的今天，OCR（光学字符识别）技术已成为信息提取的核心工具之一。无论是发票扫描、文档归档，还是路牌识别、表单录入，OCR都能将图像中的文字内容自动转化为可编辑的文本数据，极大提升工作效率。

本文所介绍的 OCR 服务基于 CRNN（Convolutional Recurrent Neural Network）模型构建，部署于轻量级 CPU 环境，无需 GPU 支持即可实现高精度中英文识别。项目已集成 Flask 框架提供的 WebUI 界面和 RESTful API 接口，支持用户通过浏览器上传图片并实时查看识别结果，也可通过程序调用 API 实现自动化处理。

💡 核心亮点回顾： – 模型升级：采用 CRNN 架构，在复杂背景与手写体识别上表现更优 – 智能预处理：内置 OpenCV 图像增强算法，提升低质量图像识别率 – 极速响应：CPU 推理平均耗时 <1 秒，适合资源受限场景 – 双模交互：同时提供可视化 Web 页面与标准 API 接口

然而，当前默认启动的服务使用的是 HTTP 协议，存在数据明文传输风险——用户的上传图片、识别结果等敏感信息可能被中间人窃取或篡改。尤其在公网暴露或企业内网共享时，安全性不容忽视。

因此，本文将重点讲解如何为该 OCR WebUI 服务启用 HTTPS 加密传输，并通过 Nginx 反向代理 + SSL 证书的方式，实现安全、可信的访问体验。

🔐 为什么需要 HTTPS？

HTTP 是一种明文传输协议，所有请求和响应内容均可被网络监听者读取。而 HTTPS 在 HTTP 基础上叠加了 TLS/SSL 加密层，具备以下三大核心安全能力：

• 加密性（Confidentiality）：通信内容加密，防止数据泄露
• 完整性（Integrity）：防止数据在传输过程中被篡改
• 身份验证（Authentication）：确保客户端连接的是真实服务器，而非钓鱼站点

对于 OCR 这类涉及用户隐私图像和文本输出的服务，启用 HTTPS 不仅是最佳实践，更是生产环境部署的基本要求。

🛠️ 实现方案设计

由于原生 Flask 应用不推荐直接绑定 SSL 证书对外提供 HTTPS 服务（性能与稳定性限制），我们采用业界通用的 Nginx 反向代理 + Let's Encrypt 免费证书 方案。

✅ 技术选型说明

| 组件 | 作用 | |——|——| | Flask App | 后端 OCR 服务，运行在本地 5000 端口 | | Nginx | 反向代理服务器，接收外部 HTTPS 请求并转发至 Flask | | Certbot | 自动申请与续期 Let's Encrypt SSL 证书 | | Let's Encrypt | 提供免费、受信任的 DV 级 SSL 证书 |

该架构既保证了服务的安全性，又提升了并发处理能力和静态资源服务能力。

🚀 分步实施指南

第一步：准备域名与服务器环境

要使用 Let's Encrypt 证书，必须满足以下条件：

⚠️ 注意：若仅用于局域网测试，可跳过 Certbot 阶段，使用自签名证书替代（见文末补充）

第二步：安装 Nginx 与 Certbot

以 Ubuntu 20.04/22.04 为例：

# 更新包管理器
sudo apt update

# 安装 Nginx 和 Certbot
sudo apt install nginx certbot python3-certbot-nginx -y

# 启动并设置开机自启
sudo systemctl start nginx
sudo systemctl enable nginx

安装完成后，可通过 http://your-domain.com 测试是否能看到 Nginx 欢迎页。

第三步：配置 Nginx 反向代理

编辑 Nginx 配置文件：

sudo nano /etc/nginx/sites-available/ocr-webui

填入以下配置内容：

server {
listen 80;
server_name ocr.yourdomain.com; # 替换为你的实际域名

location / {
proxy_pass http://127.0.0.1:5000;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_buffering off;
proxy_request_buffering off;
}

# 用于 Certbot 验证 ACME 挑战
location ~ /.well-known/acme-challenge {
root /var/www/certbot;
allow all;
}
}

保存后创建软链接启用站点：

sudo ln -s /etc/nginx/sites-available/ocr-webui /etc/nginx/sites-enabled/
sudo rm /etc/nginx/sites-enabled/default # 删除默认站点避免冲突

测试配置语法并重载 Nginx：

sudo nginx -t
sudo systemctl reload nginx

第四步：申请 Let's Encrypt SSL 证书

运行 Certbot 命令自动申请证书：

sudo certbot –nginx -d ocr.yourdomain.com

按提示输入邮箱、同意条款后，Certbot 会自动完成域名验证，并修改 Nginx 配置以启用 HTTPS。

成功后，Nginx 配置将自动更新为：

server {
listen 443 ssl http2;
server_name ocr.yourdomain.com;

ssl_certificate /etc/letsencrypt/live/ocr.yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/ocr.yourdomain.com/privkey.pem;
include /etc/letsencrypt/options-ssl-nginx.conf;
ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

location / {
proxy_pass http://127.0.0.1:5000;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_buffering off;
proxy_request_buffering off;
}
}

# 强制 HTTP 跳转 HTTPS
server {
listen 80;
server_name ocr.yourdomain.com;
return 301 https://$host$request_uri;
}

此时访问 https://ocr.yourdomain.com 即可看到带绿色锁标志的安全页面。

第五步：启动 OCR WebUI 服务

确保 OCR 服务在后台持续运行：

# 进入项目目录
cd /path/to/ocr-crnn-webui

# 使用 nohup 启动 Flask 服务（监听 127.0.0.1:5000）
nohup python app.py > ocr.log 2>&1 &

或使用 systemd 创建守护进程（推荐生产环境使用）：

# /etc/systemd/system/ocr-webui.service
[Unit]
Description=CRNN OCR WebUI Service
After=network.target

[Service]
Type=simple
User=www-data
WorkingDirectory=/path/to/ocr-crnn-webui
ExecStart=/usr/bin/python3 app.py
Restart=always

[Install]
WantedBy=multi-user.target

启用并启动服务：

sudo systemctl daemon-reexec
sudo systemctl enable ocr-webui
sudo systemctl start ocr-webui

第六步：验证 HTTPS 功能

打开浏览器访问：

https://ocr.yourdomain.com

你应该看到：

• 地址栏显示绿色锁图标 🔒
• 可正常上传图片并识别文字
• 所有请求均通过 HTTPS 加密传输

使用开发者工具查看 Network 面板，确认请求协议为 https://，且无混合内容警告。

🔄 自动续期 SSL 证书

Let's Encrypt 证书有效期为 90 天，但 Certbot 已自动配置定时任务进行续期。

手动测试续期命令：

sudo certbot renew –dry-run

若无报错，则表示自动续期机制正常工作。

你也可以查看系统定时任务：

systemctl list-timers | grep certbot

通常每周会自动检查一次即将到期的证书。

🧪 局域网/无域名场景解决方案（自签名证书）

如果你仅在局域网使用，没有公网域名，可以生成自签名 SSL 证书实现本地 HTTPS。

生成自签名证书

mkdir -p /etc/nginx/ssl
openssl req -x509 -nodes -days 365 \\
-newkey rsa:2048 \\
-keyout /etc/nginx/ssl/ocr.key \\
-out /etc/nginx/ssl/ocr.crt \\
-subj "/C=CN/ST=Beijing/L=Beijing/O=OCR Team/CN=local-ocr"

修改 Nginx 配置使用自签证书

替换 server 块中的 SSL 配置部分：

listen 443 ssl;
server_name localhost;

ssl_certificate /etc/nginx/ssl/ocr.crt;
ssl_certificate_key /etc/nginx/ssl/ocr.key;

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;

重启 Nginx 后访问 https://<服务器IP>:443，首次需手动信任证书。

💡 提示：可在公司内网 CA 统一签发证书，避免每台设备手动信任。

🛡️ 安全加固建议

为进一步提升安全性，建议采取以下措施：

| 措施 | 说明 | |——|——| | 启用 HSTS | 强制浏览器始终使用 HTTPS 访问 | | 限制访问来源 | 使用 Nginx 配合 allow/deny 控制 IP 白名单 | | API 接口鉴权 | 对 /api/ocr 接口增加 Token 验证 | | 日志审计 | 记录访问日志，便于追踪异常行为 | | 定期更新依赖 | 防止 OpenSSL、Nginx 等组件存在已知漏洞 |

例如，添加 HSTS 头部：

add_header Strict-Transport-Security "max-age=31536000" always;

✅ 总结：从 HTTP 到 HTTPS 的完整跃迁

本文围绕“为 OCR WebUI 添加 SSL 证书”这一核心目标，系统性地完成了以下工作：

现在，你的 OCR 服务不仅具备高精度识别能力，更拥有了企业级安全防护机制，真正实现了“看得清、传得安”。

📚 下一步学习建议

• 学习 OWASP Top 10，掌握 Web 安全常见威胁
• 尝试为 API 接口增加 JWT 鉴权，实现用户级访问控制
• 使用 Docker Compose 统一编排 Flask + Nginx + Certbot 服务
• 探索私有 CA 或企业级证书管理平台（如 HashiCorp Vault）

🔗 项目源码参考：可在 ModelScope 或 GitHub 搜索 “CRNN OCR WebUI” 获取类似实现模板

让每一次文字识别，都在加密通道中安心流转。🔐