nginx统一鉴权核心是分层协作：auth_request做轻量准入控制，external服务或lua处理复杂逻辑；secure_link用于静态资源防直链；ip/api key白名单增强防护。
通过 Nginx 整合安全模块与原生鉴权，核心是分层协作：用原生模块（如 auth_request、secure_link）做轻量、快速的准入控制，再由外部服务或 Lua 脚本承担复杂业务逻辑。不依赖单一机制，而是让每个模块各司其职。
启用并验证 auth_request 模块
这是统一鉴权的基石，Nginx ≥1.12 默认内置，但需确认启用：
- 运行
nginx -V 2>&1 | grep http_auth_request_module，有输出即表示可用 - 若无输出，需重新编译 Nginx 并添加
--with-http_auth_request_module - 该模块不处理具体校验逻辑，只负责发起子请求 + 根据状态码放行/拦截
配置鉴权子请求与可信透传
子请求不是简单转发，关键在头信息的安全传递和响应解析：
- 用
internal限定/auth只能被内部调用，防止绕过 - 显式透传必要头：如
proxy_set_header Authorization $http_authorization、proxy_set_header X-Original-URI $request_uri - 关闭请求体传输：
proxy_pass_request_body off，避免 introspect 类接口因接收 body 而超时或报错 - 用
auth_request_set $user_id $upstream_http_x_user_id提取鉴权服务返回的用户标识，后续可透传至后端
搭配 secure_link 实现静态资源防直链
对下载包、图片、视频等无需动态校验的资源，用 secure_link 做签名级防护：
- 生成带过期时间与密钥的 HMAC 签名，拼入 URL（如
/file.zip?st=xxx&e=1717800000） - 在 location 中启用：
secure_link $arg_st,$arg_e; secure_link_md5 "your_secret_key$uri$arg_e"; - 签名失效或缺失时自动返回 403，不触发回源，节省上游压力
- 注意：它不加密内容，也不替代 token 鉴权，专用于边缘缓存场景下的 URL 级授权
补充 IP 或 API Key 白名单增强防护
多层校验更稳妥，白名单适合管理后台、运维接口等低频高敏路径：
- 用
geo和map定义可信 IP 段：geo $allowed { default 0; 192.168.1.0/24 1; } - 配合
if ($allowed = 0) { return 403; }快速拦截 - 对 API Key，可用
map $arg_apikey $valid_key { "abc123" 1; default 0; }，再做条件判断 - 这些规则建议放在
auth_request之后，仅作用于已初步认证的流量
