Nginx 中可用 access_by_lua_block 在 access_phase 阶段统一做权限校验，需通过 OpenResty 或 lua 模块启用，配合 JWT 验证、白名单跳过及共享字典缓存实现高效鉴权。
在 Nginx 中，access_by_lua（或更推荐的 access_by_lua_block）可用于在请求进入代理或静态服务前执行 Lua 逻辑，适合做统一的权限校验。它运行在 access_phase 阶段，早于 content_phase（如 proxy_pass、try_files），因此能及时拦截未授权请求。
一、启用 Lua 支持并配置基础环境
Nginx 默认不内置 Lua，需使用 OpenResty（推荐）或编译 nginx-module-lua 模块。确认已安装后，在 http 块顶部加载 Lua 模块并设置共享字典（如需缓存 token 或用户信息）：
lua_package_path "/path/to/lua/?.lua;;"; lua_shared_dict auth_cache 10m;
二、在 http 块中定义全局 access 校验逻辑
将权限校验逻辑写在 http 块内，对所有 server 或 location 生效（除非显式跳过）。常用方式是用 access_by_lua_block 包裹核心判断：
http {
# 全局校验：检查 Authorization header 或 cookie
access_by_lua_block {
local jwt = ngx.req.get_headers()["Authorization"]
if not jwt or type(jwt) ~= "string" or not jwt:match("^Bearer%s+") then
ngx.status = 401
ngx.say('{"error":"Unauthorized"}')
ngx.exit(401)
end
<pre class="brush:php;toolbar:false;"> -- 解析并验证 JWT（可调用 resty.jwt）
local jwt_obj = require "resty.jwt"
local jwt_checker = jwt_obj:new()
local ok, err = jwt_checker:verify_jwt_obj({
secret = "your-secret-key",
algorithm = "HS256"
}, jwt:sub(7)) -- 去掉 "Bearer "
if not ok then
ngx.status = 403
ngx.say('{"error":"Invalid or expired token"}')
ngx.exit(403)
end
-- 可选：从 payload 提取 user_id 写入 ngx.var 供后续 use
local payload = jwt_checker.payload
ngx.var.user_id = payload.user_id or "anonymous"
}
server { ... }
}
三、按需跳过校验或差异化处理
并非所有路径都需要鉴权（如登录接口、健康检查）。可通过 location 级覆盖或条件跳过：
- 在特定
location中用access_by_lua_block { }空块清空父级逻辑 - 用
ngx.ctx.skip_auth = true在前置逻辑中标记，主校验中提前 return - 根据
ngx.var.uri或ngx.var.host白名单放行，例如：if ngx.var.uri == "/login" then return end
四、注意事项与最佳实践
- 避免在
access_by_lua中做耗时操作（如远程 HTTP 调用），应改用异步 cosocket 或预加载缓存 - 错误响应建议统一 JSON 格式，并设置
Content-Type: application/json（用ngx.header.content_type = "application/json"） - 敏感密钥不要硬编码，可通过
lua_shared_dict+ 后台定时更新，或用环境变量注入（OpenResty 0.10.15+ 支持os.getenv） - 调试时开启
lua_log_level info并用ngx.log(ngx.INFO, ...)输出关键变量
