nginx本身不内置授权撤销机制，需依赖外部系统驱动：通过auth_request调用鉴权服务实时检查redis黑名单、用njs脚本实现内存级快速撤销、或通过conf热重载批量封禁ip/ua，配合日志审计形成闭环。
Nginx 本身不内置“授权撤销”机制——它不维护会话状态、不主动吊销 token、也不实时同步黑名单。真正的授权撤销必须由外部系统驱动，Nginx 只负责按规则执行拦截。关键在于把“撤销动作”转化为 Nginx 可感知、可响应的策略信号，并确保该信号低延迟生效。
用 auth_request 实现动态撤销检查
把撤销判断下沉到鉴权服务，Nginx 仅做请求转发与结果拦截： - 部署一个轻量 /auth/revoke-check 接口（如 FastAPI 或 OpenResty + Redis），接收 Authorization 头或 token，查询是否在撤销列表（Redis Set 或数据库标记） - 在 Nginx 中复用已有 auth_request 模块：location /api/ {
auth_request /_revoke_check;
proxy_pass http://backend;
}
location = /_revoke_check {
internal;
proxy_pass https://auth-service/auth/revoke-check;
proxy_pass_request_body off;
proxy_set_header Content-Length "";
}
用 njs 实现内存级快速撤销缓存
适合高频、短时效撤销场景（如临时禁用某 API Key）： - 编写 njs 脚本读取 Redis 或本地 map，支持 TTL 过期：function checkRevoked(r) {
const token = r.headersIn.Authorization?.split(' ')[1];
if (!token) return r.return(401);
const revoked = r.variables.revoked_tokens || {};
if (revoked[token]) return r.return(403);
// 或调用 r.subrequest() 查询 Redis
r.internalRedirect('/');
}
通过配置热重载实现批量撤销
适用于策略级撤销（如停用某类客户端、封禁某 IP 段）： - 将撤销规则单独存为 conf 文件，例如 /etc/nginx/conf.d/revoked-clients.conf：deny 192.168.10.5;
deny 2001:db8::/32;
if ($http_user_agent ~* "BadBot/1\.0") { return 403; }
location / {
include /etc/nginx/conf.d/revoked-clients.conf;
proxy_pass http://backend;
}
撤销日志与审计闭环
确保每次撤销可追溯、可验证： - 在 auth_request 后端记录撤销触发详情（时间、token hash、操作人、原因） - Nginx 配置中添加日志字段：log_format revoke_log '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_authorization" "$upstream_http_x_revoke_reason"';
不复杂但容易忽略
