实战演示 Nginx 结合 Internal 指令实现“鉴权后透传”的安全资源下载-Nginx-PHP中文网

internal指令不鉴权只守门，确保location仅响应内部跳转（如auth_request、rewrite last、error_page或x-accel-redirect），拒绝客户端直连；直连即返回404。

实战演示 nginx 结合 internal 指令实现“鉴权后透传”的安全资源下载

internal 指令本身不鉴权，只守门——它确保 location 只能被内部跳转触发，不能被客户端直连。真正在做权限判断的，是 auth_request、rewrite last 或后端服务返回的 X-Accel-Redirect。

为什么直接加 internal 就报 404？

因为 internal 的语义很硬：只要请求不是来自 Nginx 内部机制（比如 auth_request 子请求成功后的放行、rewrite ... last、error_page 或 X-Accel-Redirect 响应头），Nginx 就直接拒绝，返回 404（或 403，取决于是否配了 return 403）。

常见误操作：

浏览器手动访问 /_protected/xxx.pdf → 必然 404
在 location /download/ 里写 proxy_pass http://backend 却没透传鉴权结果 → 后端返回 200 但没带 X-Accel-Redirect → Nginx 不知道要跳哪，也不触发 internal location
internal 写在了没被任何内部跳转命中的 location 下 → 形同虚设，还可能掩盖真实错误

auth_request + internal 是最稳的组合

这是纯 Nginx 原生能力就能落地的方案，不需要 Lua 或额外模块。核心在于把鉴权逻辑下沉到子请求，主流程保持轻量。

关键配置片段：

location ^~ /download/ {
    auth_request /auth;
    auth_request_set $upstream_status $upstream_status;
}

location = /auth {
    internal;
    proxy_pass http://auth-service;
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    proxy_set_header X-Original-URI $request_uri;
}

location ^~ /_protected/ {
    internal;
    alias /var/www/protected/;
}

说明：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

auth_request 触发子请求，只有返回 2xx 才继续；401/403 直接拦截
/auth 必须加 internal，否则攻击者可绕过主入口直接打它
/_protected/ 的 alias 路径末尾不加斜杠，否则文件拼接会出错（如 alias /path/; + 请求 /_protected/a.txt → 实际读 /path/a.txt；若写成 alias /path; → 读 /patha.txt）

X-Accel-Redirect 更适合后端动态控制路径

当文件路径需由业务逻辑实时生成（比如按用户 ID 分目录、带时效 token 的临时路径），用响应头驱动比 rewrite 更灵活。

后端返回示例（Java Spring Boot）：

response.setHeader("X-Accel-Redirect", "/_protected/user_123/report_20260423.pdf");
response.setHeader("Content-Disposition", "attachment; filename=report.pdf");
response.setStatus(200);

Nginx 配置只需匹配这个 header：

location ^~ /_protected/ {
    internal;
    alias /var/www/protected/;
}

注意点：

X-Accel-Redirect 的值必须以 /_protected/ 开头，且严格匹配 location 前缀
后端不能返回完整文件系统路径（如 /var/www/protected/...），Nginx 会拒绝解析
如果用了 root 而非 alias，路径计算逻辑不同：root /var/www; + X-Accel-Redirect: /protected/xxx → 实际读 /var/www/protected/xxx