Nginx 中怎么使用 Location 配合 Lua 脚本实现动态鉴权-Nginx-PHP中文网

核心是将鉴权逻辑置于access_by_lua_block阶段，在location匹配后、请求转发前执行JWT校验或远程调用，结合前缀匹配（如^~ /api/）确保时机正确、范围精准，避免init_by_lua等错误阶段。

nginx 中怎么使用 location 配合 lua 脚本实现动态鉴权

在 Nginx 中结合 location 和 Lua 脚本实现动态鉴权，核心是利用 ngx_lua 模块（通常通过 OpenResty 提供）在请求处理的不同阶段执行 Lua 逻辑，对请求头、参数、Token 或后端服务返回结果做实时校验。关键在于选对执行阶段、安全传递上下文、避免阻塞，并与 location 的匹配逻辑协同工作。

1. 确保环境支持 Lua（OpenResty 是首选）

Nginx 官方版不内置 Lua 支持，必须使用 OpenResty（基于 Nginx + ngx_lua + 其他增强模块）。安装后可通过 nginx -V 2>&1 | grep lua 确认是否含 --with-http_lua_module。

推荐从 openresty.org 下载预编译包或源码编译
验证配置：在 nginx.conf 中加一行 lua_code_cache off;（开发时方便热重载，生产务必设为 on）

2. 在 location 块中嵌入 Lua 鉴权逻辑

最常用的是 access_by_lua_block（或 access_by_lua_file），它在 access_phase 执行，早于代理转发，适合做准入控制。

示例：对 /api/ 下所有路径做 JWT Token 校验

location ^~ /api/ {
    access_by_lua_block {
        local jwt = require "resty.jwt"
        local jwt_obj = jwt:new()
<pre class="brush:php;toolbar:false;">    local auth_header = ngx.req.get_headers()["Authorization"]
    if not auth_header or not string.match(auth_header, "^Bearer%s+") then
        ngx.status = 401
        ngx.say('{"error":"missing or invalid Authorization header"}')
        ngx.exit(ngx.HTTP_UNAUTHORIZED)
    end

    local token = string.sub(auth_header, 8)
    local res, err = jwt_obj:verify_jwt_obj(token, {
        secret = "your-secret-key",
        algorithm = "HS256"
    })

    if not res then
        ngx.status = 401
        ngx.say('{"error":"invalid token"}')
        ngx.exit(ngx.HTTP_UNAUTHORIZED)
    end

    -- 可选：将解析后的用户信息存入 ngx.ctx，供后续 handler 使用
    ngx.ctx.user = res.payload
}

proxy_pass http://backend;
proxy_set_header X-User-ID res.payload.user_id;  -- 示例透传

}

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

^~ /api/ 确保前缀匹配优先，避免正则干扰
用 access_by_lua_block 内联逻辑适合简单场景；复杂逻辑建议拆到外部文件，用 access_by_lua_file /path/to/auth.lua;
注意：Lua 中不能直接访问 C 层变量（如 $arg_token），需用 ngx.var.arg_token 或 ngx.req.get_uri_args()

3. 动态决策：调用外部鉴权服务（如 HTTP API）

当鉴权规则复杂（如查数据库、调用风控系统），可在 Lua 中发起非阻塞 HTTP 请求：

access_by_lua_block {
    local http = require "resty.http"
    local httpc = http.new()
<pre class="brush:php;toolbar:false;">local user_id = ngx.ctx.user and ngx.ctx.user.user_id or ""
local res, err = httpc:request_uri("http://auth-service/check", {
    method = "POST",
    body = ngx.encode_json({ user_id = user_id, path = ngx.var.uri }),
    headers = { ["Content-Type"] = "application/json" }
})

if not res or res.status ~= 200 then
    ngx.status = 403
    ngx.say('{"error":"access denied by remote policy"}')
    ngx.exit(ngx.HTTP_FORBIDDEN)
end

local data = ngx.decode_json(res.body)
if not data.allowed then
    ngx.exit(ngx.HTTP_FORBIDDEN)
end

}