Nginx auth 的权限验证

news2025/10/31 18:43:21

基本流程

整个流程为；以用户视角访问API开始，进入 Nginx 的 auth 认证模块，调用 SpringBoot 提供的认证服务。根据认证结果调用重定向到对应的 API 接口或者 404 页面。

查看版本保证有 Nginx auth 模块

由于 OpenAI 或者本身自己训练的一套服务，都会有服务器成本。所以基于这样一个模型结构，后续可以通过用户购买 Token 的时效性进行成本回收。这也是其中一种商业变现的思路。

代码案例

简单的api接口

package com.xuyong.chatgpt;

import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.http.HttpStatus;
import org.springframework.http.ResponseEntity;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;



@SpringBootApplication
@RestController
public class Application {

    private Logger logger = LoggerFactory.getLogger(Application.class);

    public static void main(String[] args) {
        SpringApplication.run(Application.class, args);
    }

    @GetMapping("/verify")
    public ResponseEntity<String> verify(String token) {
        logger.info("验证 token：{}", token);
        if ("success".equals(token)){
            return ResponseEntity.status(HttpStatus.OK).build();
        } else {
            return ResponseEntity.status(HttpStatus.BAD_REQUEST).build();
        }
    }

    @GetMapping("/success")
    public String success(){
        return "test success by XY";
    }

}

简单的一个验证tonken的方法这里用来简化的写法没有什么加密什么的，单纯用于模拟

目前的工程还非常简单，只是在 Application 中提供了2个接口，一个认证，一个成功。
在 verify 接口中，如果 token == success 就返回 HttpStatus.OK == 200 的码，否则返回 HttpStatus.BAD_REQUEST == 400 错误码

Nginx 配置

这里我们需要改动 Nginx conf.d/default.conf 文件，添加 auth 认证模块；

listen 80;：监听80端口。
server_name 10.230.27.90;：设置服务器名称为IP地址10.230.27.90。
index index.html;：设置默认首页为index.html。
location / { ... }：配置根路径的处理方式，将请求映射到/usr/share/nginx/html目录下的index.html或index.htm文件。
location /api/ { ... }：配置/api路径的处理方式，使用auth_request指令进行身份验证，并将验证通过后的请求转发到http://10.230.27.90:8080/success。
location = /auth { ... }：配置/auth路径的处理方式，发送子请求到HTTP服务进行身份验证，并返回响应码。
error_page 404 /404.html;：配置404错误页面。
location = /40x.html { ... }：配置40x错误页面。
error_page 500 502 503 504 /50x.html;：配置500、502、503、504错误页面。
location = /50x.html { ... }：配置50x错误页面。

server {

    listen       80;
    server_name  10.230.27.90;

    # 首页
    index index.html;

    location / {
        root   /usr/share/nginx/html;
        index  index.html index.htm;
    }

    location /api/ {
        auth_request /auth;
        # 鉴权通过后的处理方式
        proxy_pass http://10.230.27.90:8080/success;
    }

    location = /auth {
        # 发送子请求到HTTP服务，验证客户端的凭据，返回响应码
        internal;
        # 设置参数
        set $query '';
        if ($request_uri ~* "[^\?]+\?(.*)$") {
            set $query $1;
        }
        # 验证成功，返回200 OK
        proxy_pass http://10.230.27.90:8080/verify?$query;
        # 发送原始请求
        proxy_pass_request_body off;
        # 清空 Content-Type
        proxy_set_header Content-Type "";
     }

    error_page 404 /404.html;
        location = /40x.html {

        }

    error_page   500 502 503 504  /50x.html;
     location = /50x.html {
     }

}

用户访问 http://localhost/api 目标是到 http://192.168.1.101:8080/success 但这里添加了 auth 模块，所以会先进入 auth 的处理。
= auth 是绝对匹配，没有 = 号就是前缀匹配。在 auth 中把请求 api 的参数获取到在访问到验证地址 http://192.168.1.101:8080/verify?$query 如果接口返回一个200的码就通过，其他的码就失败。
注意📢：每次修改 nginx 配置后，需要重启或者reload才会生效
注意ip地址要改成你的本机地址
这里的端口已经是80

重启Nginx服务可以在终端用命令也可以在我们的portainer里重启