Nginx 中怎么配置 auth_basic 动态校验多个不同部门的凭据-Nginx-PHP中文网

Nginx原生auth_basic不支持动态部门校验，仅静态匹配.htpasswd；可通过多location/多server隔离凭据实现部门区分，或用auth_request调用外部服务实现真正的动态部门权限控制。

nginx 中怎么配置 auth_basic 动态校验多个不同部门的凭据

Nginx 原生的 auth_basic 模块不支持动态校验或运行时判断用户所属部门，它只做静态比对：读取 .htpasswd 文件里的用户名+密码哈希，匹配成功即放行，无法知道“这个用户属于哪个部门”，更不能根据部门做差异化策略。

但你可以通过组合配置，模拟出“按部门隔离凭据+差异化控制”的效果，核心思路是：用多个独立的凭据文件 + 精确的 location 或 server 路由 + 可选的外部增强逻辑。以下是几种实用、可落地的方式：

用不同 location 匹配部门路径，各自挂载专属凭据文件

适合部门有明确 URL 路径区分的场景（如 /dept/hr/、/dept/finance/）：

location ^~ /dept/hr/ {
    auth_basic "HR Department";
    auth_basic_user_file /etc/nginx/auth/hr.htpasswd;
}

location ^~ /dept/finance/ {
    auth_basic "Finance Department";
    auth_basic_user_file /etc/nginx/auth/finance.htpasswd;
}

location ^~ /dept/engineering/ {
    auth_basic "Engineering Department";
    auth_basic_user_file /etc/nginx/auth/engineering.htpasswd;
}

每个 .htpasswd 文件用 htpasswd 单独管理：
sudo htpasswd -c /etc/nginx/auth/hr.htpasswd hr-admin
sudo htpasswd /etc/nginx/auth/finance.htpasswd fin-user
各文件权限设为 640，属主 root:www-data
浏览器会按 realm（如 "HR Department"）缓存凭据，不同部门登录互不影响

用不同 server 块绑定子域名，实现部门级凭据隔离

适合部门有独立子域名的架构（如 hr.example.com、finance.example.com）：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

server {
    listen 443 ssl;
    server_name hr.example.com;
    auth_basic "HR Portal";
    auth_basic_user_file /etc/nginx/auth/hr.htpasswd;
    # ... 其他配置（SSL、proxy_pass等）
}

server {
    listen 443 ssl;
    server_name finance.example.com;
    auth_basic "Finance Portal";
    auth_basic_user_file /etc/nginx/auth/finance.htpasswd;
    # ... 其他配置
}

各子域名完全独立，凭据、realm、证书均可差异化
不需要改后端应用，Nginx 层就完成分流与认证

需要真正“动态部门校验”？必须上 `auth_request`

如果业务要求：
✅ 同一个登录入口（如 /login）
✅ 用户输一次账号密码
✅ Nginx 根据数据库查出该用户属于 HR 还是 Finance
✅ 再决定是否允许访问 /api/hr/* 或 /api/finance/*

那就必须脱离 auth_basic，改用 auth_request 模块调用外部服务：

# 定义鉴权上游（你的 Python/Node.js 服务）
upstream auth_backend {
    server 127.0.0.1:8001;
}

# 内部鉴权 endpoint（不对外暴露）
location = /auth {
    internal;
    proxy_pass http://auth_backend;
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    proxy_set_header X-Original-URI $request_uri;
}

# 保护部门 API 路径
location ^~ /api/hr/ {
    auth_request /auth;
    auth_request_set $user_dept $upstream_http_x-dept;  # 从鉴权服务响应头取部门
    if ($user_dept != 'hr') { return 403; }
    proxy_pass http://hr-api;
}

location ^~ /api/finance/ {
    auth_request /auth;
    auth_request_set $user_dept $upstream_http_x-dept;
    if ($user_dept != 'finance') { return 403; }
    proxy_pass http://finance-api;
}