nginx代理实现后端接口统一权限校验，本质是将鉴权逻辑前置到入口层，支持auth_request调用外部服务、openresty+lua内置jwt校验、ip/api key白名单叠加及安全透传用户上下文四种方式。
用 Nginx 代理实现后端接口的统一权限校验，本质是把鉴权逻辑从各个后端服务中抽离出来，在请求入口层完成拦截与放行。Nginx 本身不内置复杂业务校验能力，但可通过模块扩展或轻量脚本达成高可用、低延迟的网关级控制。
用 auth_request 调用外部鉴权服务
这是最标准、解耦性最强的方式，适合已有 OAuth2 / JWT 校验服务或需对接统一身份中心的场景：
- 在 Nginx 中定义一个内部 location（如
/auth），指向你的鉴权 HTTP 接口（例如http://127.0.0.1:8001/check） - 在 API 的 location 块中添加
auth_request /auth;，Nginx 将自动发起子请求并依据返回状态码决策：2xx 放行，401/403 拦截 - 鉴权服务需解析
Authorization头或api_key参数，校验有效性、有效期、权限范围等，并严格返回对应 HTTP 状态码 - 用
auth_request_set $user_id $upstream_http_x_user_id;可提取鉴权服务响应头中的用户 ID、角色等信息，透传给后端
用 OpenResty + Lua 实现 JWT 内置校验
当鉴权逻辑较轻量（如仅校验 HS256 签名、exp、nbf 及基础 claim），且对延迟敏感时，推荐此方式：
- 安装 OpenResty，引入
lua-resty-jwt库，在http块中预加载 - 在目标 location 中使用
access_by_lua_block{}提取Authorization: Bearer xxx，调用jwt:verify_jwt_obj()完成签名与时间验证 - 可进一步检查自定义字段（如
scope或role），不满足则执行ngx.exit(403) - 校验成功后，通过
ngx.var.jwt_uid = payload.user_id注入变量，供proxy_pass后续透传
叠加 IP 或 API Key 白名单作为补充策略
权限校验不是非黑即白，常需多层防护。这些规则应放在 auth_request 或 Lua 校验之后，只作用于已初步可信的请求：
- 用
geo和map模块定义白名单 IP 段，再通过if ($allowed = 0) { return 403; }拦截非法来源 - 用
map $arg_apikey $valid_key匹配合法 key，配合if ($valid_key = 0) { return 401; } - 对高频路径（如
/api/v1/login）启用limit_req_zone+limit_req，防止暴力试探
安全透传用户上下文至后端
鉴权通过后，后端仍需知道“是谁在调用”。Nginx 不应重复生成凭证，而应传递经可信链路校验后的原始信息：
- 避免透传原始 Token 给后端（增加泄露与重放风险），只传递已解析出的
user_id、role、scopes等可信字段 - 使用
proxy_set_header X-User-ID $jwt_uid;或X-Auth-Role $jwt_role;方式注入请求头 - 后端服务信任这些头的前提，是 Nginx 层已确保其不可伪造——即所有入口必须经过上述任一鉴权流程，且禁用下游自行解析 Token
