本地部署大模型API鉴权设置_Nginx反向代理-人工智能-PHP中文网

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜

nginx反向代理可实现大模型api多级鉴权：一、map静态key校验；二、auth_request调用外部服务；三、openresty+lua验jwt；四、ip白名单+key双重校验；五、limit_req限流防护。

如果您已本地部署大模型服务（如 ollama 或 vllm），但其 http api 接口默认无身份校验，任何知晓地址的客户端均可调用，则存在未授权访问与数据泄露风险。以下是通过 nginx 反向代理实现 api 鉴权的多种可行方案：

一、基于 map 指令的静态 API Key 校验

该方法利用 Nginx 内置的 map 模块将请求头中的 Authorization 值映射为布尔标识，无需外部依赖，执行开销极低，适用于固定密钥、轻量级鉴权场景。

1、生成高强度 API Key：openssl rand -hex 32

2、编辑 Nginx 配置文件（例如 /etc/nginx/conf.d/ollama-auth.conf），在 http 块中添加如下映射定义：

map $http_authorization $is_valid_key {
default 0;
"Bearer abcdef1234567890abcdef1234567890" 1;
"Bearer 0987654321fedcba0987654321fedcba" 1;
}

3、在 server 块内对应 location 中加入拦截逻辑：

if ($is_valid_key = 0) {
return 401 "Unauthorized";
}

4、确保该 location 下仍配置标准反向代理指令，如 proxy_pass http://127.0.0.1:11434;

二、使用 auth_request 模块调用外部鉴权服务

该方法将鉴权逻辑完全解耦至独立 HTTP 服务，支持动态密钥管理、数据库校验、角色权限判断等复杂业务，Nginx 仅承担请求路由与状态决策职责，扩展性强且符合微服务治理原则。

1、部署一个轻量鉴权服务（例如 Python FastAPI 编写），监听 http://127.0.0.1:8001/check，接收 Authorization 头并返回 200（合法）或 401/403（拒绝）

2、在 Nginx http 块中定义鉴权 location：

location = /auth {
proxy_pass http://127.0.0.1:8001/check;
proxy_pass_request_body off;
proxy_set_header Content-Length "";
proxy_set_header X-Original-URI $request_uri;
}

3、在模型 API 的 location 块中添加鉴权指令：

auth_request /auth;
auth_request_set $user_id $upstream_http_x_user_id;

4、将提取的用户标识透传至后端：

proxy_set_header X-User-ID $user_id;

三、OpenResty + Lua 实现 JWT 签名与过期校验

该方法在 Nginx 层直接解析并验证 Bearer Token，避免网络往返延迟，适合对性能敏感、JWT 结构固定的内部系统，密钥可通过环境变量注入，不硬编码于配置中。

1、安装 OpenResty 并确保启用 lua-resty-jwt 库

2、在 server 或 location 块中嵌入 Lua 访问控制逻辑：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

access_by_lua_block {
local jwt = require "resty.jwt"
local obj = jwt:new()
local token = ngx.var.http_authorization
if not token or not string.match(token, "^Bearer%s+") then
ngx.exit(401)
end
token = string.sub(token, 8)
local res, err = obj:verify_jwt_obj(token, {
secret = os.getenv("JWT_SECRET") or "fallback_secret",
algorithm = "HS256"
})
if not res.valid then
ngx.exit(401)
end
ngx.var.user_id = res.payload.user_id or "anonymous"
}

3、配置 proxy_pass 后，可将 X-User-ID 头转发至后端服务