怎么利用 Nginx 的 proxy_pass 实现对微服务集群内部 Restful API 的保护-Nginx-PHP中文网

nginx 通过 proxy_pass 充当微服务网关，实现路径精确匹配、http 方法限制、前置鉴权、敏感头隐藏、https 上游、真实 ip 透传及动态服务发现，保障内部 api 安全与解耦。

怎么利用 nginx 的 proxy_pass 实现对微服务集群内部 restful api 的保护

用 Nginx 的 proxy_pass 保护微服务集群内部 RESTful API，核心不是“转发就行”，而是通过 Nginx 充当统一入口网关，剥离鉴权、限流、协议转换、路径重写等敏感逻辑，让后端微服务专注业务，不直接暴露在不可信网络中。

只允许特定路径和方法访问内部 API

避免把整个服务目录透传出去。用 location 精确匹配 API 路径，并限制 HTTP 方法：

location /api/v1/users/ {
    limit_except GET POST {
        deny all;
    }
    proxy_pass http://user-service/;
}

只放行 GET 和 POST，禁止 PUT/DELETE 等危险方法（或按需放开）
路径末尾的 / 很关键：它让 proxy_pass http://user-service/; 把 /api/v1/users/profile 映射为 /profile 转发给后端，避免路径错位
不匹配的路径（如 /admin/ 或 /actuator/）默认不转发，可单独配置 deny all 或返回 404

校验身份后再转发请求

内部 API 不应自己解析 JWT 或查 Session。Nginx 可在转发前完成基础鉴权：

aperture: the L402 aware reverse proxy

安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。

下载

location /api/ {
    auth_request /_validate_token;
    proxy_pass http://backend-cluster;
}

location = /_validate_token {
    internal;
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    proxy_pass http://auth-service/validate;
    proxy_pass_request_headers on;
}

auth_request 指令让 Nginx 同步调用鉴权服务，仅当返回 2xx 才继续转发；返回 401/403 则直接拦截
internal 确保该鉴权接口不能被外部直接访问
实际鉴权服务（如 Spring Boot 写的 JWT 校验端点）只需返回状态码，无需响应体

隐藏后端细节并增强传输安全

防止攻击者从响应头、错误页、重定向中反推内部架构：

清除或覆盖敏感响应头：proxy_hide_header X-Powered-By;、proxy_hide_header Server;
统一错误页面：error_page 500 502 503 504 /50x.html;，避免暴露后端堆栈
强制 HTTPS 上游通信（若后端支持 TLS）：proxy_pass https://secure-backend/;
添加可信请求头供后端识别真实客户端：proxy_set_header X-Real-IP $remote_addr;、proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

配合服务发现做动态上游路由（进阶）

静态 upstream 不适合频繁扩缩容的微服务。可通过 Lua 模块或 OpenResty 动态解析服务注册中心（如 Nacos、Consul）：

location /api/order/ {
    set $backend "";
    access_by_lua_block {
        local service = require "service_discovery"
        local addr = service.get("order-service")
        if addr then
            ngx.var.backend = "http://" .. addr
        else
            ngx.exit(503)
        end
    }
    proxy_pass $backend;
}