实战演示 Nginx 结合 OpenResty 在网关层实现基于 JWT 的用户身份校验-Nginx-PHP中文网

在网关层做JWT校验可统一鉴权、避免重复实现，OpenResty通过Lua脚本解析token、验签、检查有效期及黑名单，并透传用户信息至后端。

实战演示 nginx 结合 openresty 在网关层实现基于 jwt 的用户身份校验

为什么在网关层做 JWT 校验

把用户身份校验放在网关层，能避免每个后端服务重复实现鉴权逻辑，统一拦截非法请求、提前拒绝未授权访问。Nginx 本身不支持解析 JWT，但通过 OpenResty（集成了 Lua 和大量 Lua 库的 Nginx 发行版），就能在 Nginx 配置中嵌入 Lua 脚本，完成 token 解析、签名验证、有效期检查、白名单/黑名单判断等关键操作。

环境准备与基础配置

确保已安装 OpenResty（非普通 Nginx），并启用 lua-resty-jwt 和 lua-resty-http 等常用库。推荐用 luarocks 安装：

luarocks install lua-resty-jwt
luarocks install lua-resty-http

在 nginx.conf 的 http 块中添加 Lua 模块路径和共享字典（用于缓存公钥或黑名单）：

lua_package_path "/path/to/lua/?.lua;;";
lua_shared_dict jwt_cache 10m;

核心 Lua 脚本：解析并校验 JWT

在 location 或 server 块中使用 access_by_lua_block 执行鉴权逻辑。典型流程包括：

从 Authorization 请求头提取 Bearer token
调用 jwt:load_jwt() 解析 token 结构
用公钥（RSA）或密钥（HS256）验证签名有效性
检查 exp（过期时间）、nbf（生效时间）、iss（签发者）等标准字段
可选：查 Redis 黑名单判断是否被主动注销

示例片段（简化版）：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

access_by_lua_block {
    local jwt = require "resty.jwt"
    local jwt_obj = jwt:new()
    local auth_header = ngx.req.get_headers()["Authorization"]
    if not auth_header or not string.find(auth_header, "Bearer ") then
        ngx.exit(401)
    end
    local token = string.sub(auth_header, 7)
    local res, err = jwt_obj:verify_jwt_obj(token, { secret = "your-secret-key", algorithm = "HS256" })
    if not res then
        ngx.log(ngx.ERR, "JWT verify failed: ", err)
        ngx.exit(401)
    end
}