Nginx官方文档(十三)【HTTP之ngx_http_auth_jwt_module|ngx_http_auth_request_module】

淡淡的烟草味﹌ 2021-07-04 22:20 802阅读 0赞

# ngx\_http\_auth\_jwt\_module #

*  示例配置
 *  指令
    
     *  auth\_jwt
     *  auth\_jwt\_header\_set
     *  auth\_jwt\_claim\_set
     *  auth\_jwt\_key\_file
 *  内嵌变量

`ngx_http_auth_jwt_module` 模块（1.11.3）通过验证使用指定的密钥提供的 [JSON Web Token][]（JWT）来实现客户端授权。JWT claims 必须以 [JSON Web Signature][]（JWS）结构编码。该模块可用于 [OpenID Connect][] 身份验证。

该模块可以通过 satisfy 指令与其他访问模块（如 ngx\_http\_access\_module、ngx\_http\_auth\_basic\_module 和 ngx\_http\_auth\_request\_module）进行组合。

> 此模块可作为我们商业订阅的一部分。

## 示例配置 ##

location / {
        auth_jwt          "closed site";
        auth_jwt_key_file conf/keys.json;
    }

## 指令 ##

### auth\_jwt ###

<table> 
 <thead> 
  <tr> 
   <th align="left">-</th> 
   <th align="left">说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left"><strong>语法</strong></td> 
   <td align="left"><strong>auth_jwt</strong> <code>string [token=$variable]</code> | <code>off</code>;</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>默认</strong></td> 
   <td align="left">auth_jwt off;</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>上下文</strong></td> 
   <td align="left">http、server、location</td> 
  </tr> 
 </tbody> 
</table>

启用 JSON Web Token 验证。指定的字符串作为一个 `realm`。参数值可以包含变量。

可选的 `token` 参数指定一个包含 JSON Web Token 的变量。默认情况下，JWT 作 [Bearer Token][] 在 **Authorization** 头中传递。JWT 也可以作为 cookie 或查询字符串的一部分传递：

auth_jwt "closed site" token=$cookie_auth_token;

特殊值 `off` 取消从上一配置级别继承的 `auth_jwt` 指令的作用。

### auth\_basic\_user\_file ###

<table> 
 <thead> 
  <tr> 
   <th align="left">-</th> 
   <th align="left">说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left"><strong>语法</strong></td> 
   <td align="left"><strong>auth_jwt_header_set</strong> <code>$variable name</code>;</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>默认</strong></td> 
   <td align="left">——</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>上下文</strong></td> 
   <td align="left">http</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>提示</strong></td> 
   <td align="left">该指令在 1.11.10 版本中出现</td> 
  </tr> 
 </tbody> 
</table>

将 `variable` 设置为给定的 JOSE 头参数 `name`。

### auth\_jwt\_claim\_set ###

<table> 
 <thead> 
  <tr> 
   <th align="left">-</th> 
   <th align="left">说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left"><strong>语法</strong></td> 
   <td align="left"><strong>auth_jwt_claim_set</strong> <code>$variable name</code>;</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>默认</strong></td> 
   <td align="left">——</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>上下文</strong></td> 
   <td align="left">http</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>提示</strong></td> 
   <td align="left">该指令在 1.11.10 版本中出现</td> 
  </tr> 
 </tbody> 
</table>

将 `variable` 设置为给定的 JWT claim 参数 `name`。

### auth\_jwt\_key\_file ###

<table> 
 <thead> 
  <tr> 
   <th align="left">-</th> 
   <th align="left">说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left"><strong>语法</strong></td> 
   <td align="left"><strong>auth_jwt_key_file</strong> <code>file</code>;</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>默认</strong></td> 
   <td align="left">——</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>上下文</strong></td> 
   <td align="left">http、server、location</td> 
  </tr> 
 </tbody> 
</table>

指定用于验证 JWT 签名的 [JSON Web Key Set][] 格式的 `file`（文件）。参数值可以包含变量。

## 内嵌变量 ##

`ngx_http_auth_jwt_module` 模块支持内嵌变量：

*  `$jwt_header_name`
    
    返回 [JOSE 头][JOSE]的值
 *  `$jwt_claim_name`
    
    返回 [JWT claim][] 的值

## 原文档 ##

[http://nginx.org/en/docs/http/ngx\_http\_auth\_jwt\_module.html][http_nginx.org_en_docs_http_ngx_http_auth_jwt_module.html]

--------------------

# ngx\_http\_auth\_request\_module #

*  示例配置
 *  指令
    
     *  auth\_request
     *  auth\_request\_set

`ngx_http_auth_request_module` 模块（1.5.4+）基于子请求结果实现客户端授权。如果子请求返回一个 2xx 响应代码，则允许访问。如果返回 401 或 403，则拒绝访问并抛出相应的错误代码。子请求返回的任何其他响应代码被认为是一个错误。

对于 401 错误，客户端也从子请求响应中接收 **WWW-Authenticate** 头。

该模块不是默认构建，应该在构建时使用 `--with-http_auth_request_module` 配置参数启用。

该模块可以通过 satisfy 指令与其他访问模块（如 ngx\_http\_access\_module、ngx\_http\_auth\_basic\_module 和 ngx\_http\_auth\_jwt\_module）进行组合。

> 在 1.7.3 版本之前，无法缓存对授权子请求的响应（使用 proxy\_cache、proxy\_store 等）。

## 示例配置 ##

location /private/ {
        auth_request /auth;
        ...
    }
    
    location = /auth {
        proxy_pass ...
        proxy_pass_request_body off;
        proxy_set_header Content-Length "";
        proxy_set_header X-Original-URI $request_uri;
    }

## 指令 ##

### auth\_request ###

<table> 
 <thead> 
  <tr> 
   <th align="left">-</th> 
   <th align="left">说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left"><strong>语法</strong></td> 
   <td align="left"><strong>auth_request</strong> <code>uri</code> | <code>off</code>;</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>默认</strong></td> 
   <td align="left">auth_request off;</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>上下文</strong></td> 
   <td align="left">http、server、location</td> 
  </tr> 
 </tbody> 
</table>

启用基于子请求结果的授权，并设置发送子请求的 URI。

### auth\_request\_set ###

<table> 
 <thead> 
  <tr> 
   <th align="left">-</th> 
   <th align="left">说明</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left"><strong>语法</strong></td> 
   <td align="left"><strong>auth_request_set</strong> <code>$variable value;</code>;</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>默认</strong></td> 
   <td align="left">——</td> 
  </tr> 
  <tr> 
   <td align="left"><strong>上下文</strong></td> 
   <td align="left">http</td> 
  </tr> 
 </tbody> 
</table>

在授权请求完成后，将请求 `variable`（变量）设置为给定的 `value`（值）。该值可能包含授权请求中的变量，例如 `$upstream_http_*`。

## 原文档 ##

[http://nginx.org/en/docs/http/ngx\_http\_auth\_request\_module.html][http_nginx.org_en_docs_http_ngx_http_auth_request_module.html]

[JSON Web Token]: https://tools.ietf.org/html/rfc7519
[JSON Web Signature]: https://tools.ietf.org/html/rfc7515
[OpenID Connect]: http://openid.net/specs/openid-connect-core-1_0.html
[Bearer Token]: https://tools.ietf.org/html/rfc6750
[JSON Web Key Set]: https://tools.ietf.org/html/rfc7517#section-5
[JOSE]: https://tools.ietf.org/html/rfc7515#section-4
[JWT claim]: https://tools.ietf.org/html/rfc7519#section-4
[http_nginx.org_en_docs_http_ngx_http_auth_jwt_module.html]: http://nginx.org/en/docs/http/ngx_http_auth_jwt_module.html
[http_nginx.org_en_docs_http_ngx_http_auth_request_module.html]: http://nginx.org/en/docs/http/ngx_http_auth_request_module.html