如何利用 Nginx 实现全局的身份验证拦截方案-Nginx-PHP中文网

Nginx全局身份验证拦截核心是auth_basic配合统一密码文件，作用域设在http块可覆盖所有请求；需HTTPS保障安全，精细化控制可用auth_basic off关闭特定路径；生产推荐auth_request对接外部认证服务实现JWT、OAuth等灵活鉴权。

如何利用 nginx 实现全局的身份验证拦截方案

在 Nginx 中实现全局身份验证拦截，核心是利用 auth_basic 指令配合统一的用户密码文件，并通过合理的作用域控制（如放在 http 或 server 块）来覆盖所有请求。但要注意：它仅提供基础 HTTP Basic 认证，不适用于现代无状态 Token 或 OAuth 场景；若需更灵活的鉴权（如 JWT、API Key、RBAC），应结合 auth_request 模块调用外部认证服务。

启用全局 Basic 认证（最简方案）

将认证配置置于 http 块中，即可对所有 server 和 location 生效：

http {
    # 全局启用 Basic 认证
    auth_basic           "Restricted Access";
    auth_basic_user_file /etc/nginx/.htpasswd;
<pre class="brush:php;toolbar:false;">server {
    listen 80;
    server_name example.com;
    # 所有 location 默认继承 http 块中的 auth_basic 配置
    location / {
        proxy_pass http://backend;
    }
}

}

说明：

auth_basic_user_file 必须是 Nginx 进程可读的绝对路径；可用 htpasswd 工具生成（如 htpasswd -c /etc/nginx/.htpasswd admin）
若某个 location 不需要认证，显式关闭：auth_basic off;
该方式明文传输凭证（建议强制 HTTPS），且浏览器会缓存凭据，退出需清空或关闭标签页

按路径/域名精细化控制认证范围

避免“一刀切”，可在不同层级覆盖默认行为：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

在 server 块中设置，只对该域名生效
在 location /admin/ 中启用，仅保护后台路径
用 auth_basic off; 在 location /public/ 中放行静态资源
多个域名共用同一份用户文件，但各自定义 realm（如 "Admin Area" 和 "Dev API"），便于用户区分

对接外部认证服务（推荐用于生产）

使用 auth_request 指令将鉴权逻辑委托给独立服务（如一个轻量 Node.js/Python 接口），实现动态校验：

http {
    # 定义认证上游
    upstream auth_backend {
        server 127.0.0.1:8001;
    }
<pre class="brush:php;toolbar:false;">server {
    location / {
        # 向 /auth 端点发起子请求，成功（2xx）才放行
        auth_request /auth;

        proxy_pass http://backend;
    }

    # 内部 location 处理认证逻辑
    location = /auth {
        internal;
        proxy_pass https://auth_backend;
        proxy_pass_request_body off;
        proxy_set_header Content-Length "";
        # 将原始请求头透传给认证服务（如 Authorization、X-API-Key）
        proxy_set_header X-Original-URI $request_uri;
        proxy_set_header X-Original-Method $request_method;
    }
}

}

关键点：