怎么在 Nginx 中处理不同身份的权限映射逻辑-Nginx-PHP中文网

nginx 通过 location 配合 auth_basic、ip 限制、请求头校验及 auth_request 指令，可实现基于角色的路径级权限控制：公开资源免认证，普通用户需基础认证，管理员需强认证或 ip 白名单，亦支持 jwt/oauth2 头信息路由与外部鉴权服务集成。

怎么在 nginx 中处理不同身份的权限映射逻辑

Nginx 本身不内置用户身份认证（如登录态、角色判断），但它可以通过组合 location、auth_basic、IP 限制、请求头校验、以及与后端鉴权服务协同，实现基于不同身份的权限映射逻辑。关键在于：把“谁有权限访问什么路径”这个规则，用 Nginx 的配置语言表达清楚。

按身份类型区分访问路径

最常见做法是用 location 块配合不同鉴权方式，把不同角色导向不同资源或代理目标：

管理员路径（如 /admin/）需强认证
普通用户路径（如 /user/）可宽松校验
公开资源（如 /static/, /api/public）无需认证

示例：

# 公开静态资源，不限制身份
location /static/ {
    root /var/www/app;
    expires 1y;
}

# 普通用户接口，要求基础认证（用户名密码）
location /api/user/ {
    auth_basic "User Area";
    auth_basic_user_file /etc/nginx/conf.d/users.htpasswd;
    proxy_pass http://backend-user;
}

# 管理员专用接口，额外校验请求头或 IP 白名单
location /api/admin/ {
    satisfy any;
    allow 192.168.10.0/24;     # 内网 IP 可直通
    deny all;
    auth_basic "Admin Area";
    auth_basic_user_file /etc/nginx/conf.d/admins.htpasswd;
    proxy_pass http://backend-admin;
}

⚠️ 注意：satisfy any 表示满足任一条件（IP 或密码）即可通过；satisfy all 则需全部满足。

用请求头传递身份信息做路由

当上游已做统一认证（如 OAuth2、JWT），Nginx 可信任 Authorization 或自定义头（如 X-User-Role），据此做路径分发：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

# 假设后端在认证后注入 X-User-Role: admin 或 user
map $http_x_user_role $backend_upstream {
    default      backend-default;
    admin        backend-admin;
    user         backend-user;
}

upstream backend-default { server 127.0.0.1:8001; }
upstream backend-admin  { server 127.0.0.1:8002; }
upstream backend-user   { server 127.0.0.1:8003; }

server {
    location /api/ {
        proxy_pass http://$backend_upstream;
        proxy_set_header X-Real-IP $remote_addr;
        # 不透传敏感头，避免绕过
        proxy_hide_header Authorization;
    }
}

这样，同一 /api/ 路径，实际转发到不同后端，由角色决定。

结合外部鉴权服务（推荐用于生产）

Nginx Plus 或开源版搭配 auth_request 指令，可将权限判定交给独立服务（如 Keycloak、Auth0、自研鉴权 API）：

# 定义鉴权子请求
location = /auth {
    internal;
    proxy_pass https://auth-service/verify;
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    proxy_set_header X-Original-URI $request_uri;
}

# 应用鉴权到具体路径
location /private/ {
    auth_request /auth;
    auth_request_set $auth_status $upstream_status;
    error_page 401 = @error401;
    proxy_pass http://app-backend;
}

location @error401 {
    return 401 "Access denied";
}

此时，每次访问 /private/ 前，Nginx 会先向 /auth 发起子请求；只有返回 2xx，才放行。鉴权服务可解析 JWT、查数据库、判断 RBAC 规则，灵活度远超 Nginx 原生命令。