Nginx通过map+if实现固定Token白名单校验、auth_request委托后端鉴权或Lua模块验签，优先使用Authorization头传递Token，避免URL明文泄露，兼顾轻量性与安全性。
Nginx 本身不支持直接解析请求体（如 JSON）或复杂逻辑校验 Token，但可以通过 map、if、auth_request 或 Lua 模块等方式，结合请求头、URL 参数或 Cookie 中的 Token 实现轻量级权限控制。最常用且可靠的方式是：将 Token 放在请求头（如 Authorization: Bearer xxx）或 URL 查询参数（如 ?token=xxx），再用 Nginx 做白名单比对、签名验证或转发给后端鉴权服务。
用 map + if 校验固定 Token（适合简单场景）
适用于测试环境或内部工具，Token 固定且数量少。Nginx 通过 map 提前定义合法 Token 列表，再用 if 拦截非法请求：
http {
map $arg_token $valid_token {
default 0;
"abc123" 1;
"xyz789" 1;
}
<pre class="brush:php;toolbar:false;">server {
location /api/ {
if ($valid_token = 0) {
return 403 "Invalid or missing token";
}
proxy_pass http://backend;
}
}}
注意：if 在 location 中慎用，仅限简单变量判断；不建议用于复杂逻辑或正则匹配。
用 auth_request 模块委托后端鉴权（推荐生产用）
将 Token 校验逻辑完全交给后端服务（如一个轻量 API），Nginx 只负责透传 Token 并根据返回状态码放行或拦截：
location /api/ {
# 提取 Token：优先从 Header， fallback 到 arg_token
set $auth_token "";
if ($http_authorization ~* "^Bearer\s+(.+)$") {
set $auth_token $1;
}
if ($auth_token = "") {
set $auth_token $arg_token;
}
<pre class="brush:php;toolbar:false;"># 转发 Token 到鉴权服务（需返回 200 才放行）
auth_request /auth;
auth_request_set $auth_status $upstream_status;
proxy_pass http://backend;}
鉴权子请求：携带 Token 向后端校验
location = /auth { internal; proxy_pass https://www.php.cn/link/1cb5e7535b5e4aa0bbb501f43c5bd910; proxy_pass_request_body off; proxy_set_header Content-Length ""; proxy_set_header X-Original-URI $request_uri; }
后端 /verify 接口需返回 HTTP 200 表示合法，401/403 表示拒绝，Nginx 自动拦截响应体并返回对应错误码。
用 Lua + OpenResty 做签名 Token 校验（灵活高级场景）
若 Token 是 JWT 或自定义签名格式（如 token=xxx&sig=yyy），可借助 nginx-lua-module 解析和验签：
location /api/ {
access_by_lua_block {
local args = ngx.req.get_uri_args()
local token = args["token"] or ngx.var.http_authorization
<pre class="brush:php;toolbar:false;"> if not token then
ngx.exit(403)
end
-- 示例：简单 HMAC 校验（实际应使用 hmac_sha256 + 密钥）
local expected_sig = ngx.md5("SECRET_KEY" .. token)
local sig = args["sig"]
if sig ~= expected_sig then
ngx.exit(403)
end
}
proxy_pass http://backend;}
需安装 OpenResty 或编译 Nginx 时启用 lua-module；注意密钥不可硬编码，应通过环境变量或配置中心注入。
安全提醒与最佳实践
Token 不应明文出现在 URL 中（会留日志、被代理缓存），优先使用 Authorization 请求头；若必须用 query 参数，需配合 HTTPS 和 log_format 过滤敏感字段。避免在 Nginx 中硬编码密钥或长期有效的 Token，应由后端动态签发并校验过期时间、权限范围等。
