如何在nginx代理层增加token验证，以保护fastdfs?

夏威夷8080 / 2023-08-22 / 原文

要使用 Nginx 作为 FastDFS 的代理并处理 token 验证逻辑，你可以结合 Nginx 和其他模块或脚本来完成。以下是一个基本的流程和配置示例：

Nginx 安装: 如果你尚未安装 Nginx，首先需要在你的服务器上安装它。对于大多数 Linux 发行版，通常可以使用包管理器轻松地安装。
使用 Lua 模块: ngx_http_lua_module 允许你嵌入 Lua 脚本来处理请求。这对于实现 token 验证非常有用。

安装此模块可能需要从源代码编译 Nginx，或者使用 OpenResty，这是一个集成了多种 Nginx 模块的平台。

Nginx 配置: 在 Nginx 的配置文件中（通常是 /etc/nginx/nginx.conf 或 /etc/nginx/sites-available/your-config），设置代理和 Lua 脚本。

http {
    # ... other http settings ...

    # Lua script path
    lua_package_path "/path/to/your/lua/scripts/?.lua;;";

    server {
        listen 80;
        server_name your.fastdfs.domain;

        location / {
            # Token verification with Lua
            access_by_lua_block {
                local my_auth = require "my_auth_module"
                if not my_auth.verify_token(ngx.var.arg_token) then
                    ngx.exit(ngx.HTTP_UNAUTHORIZED)
                end
            }

            # Proxy settings for FastDFS
            proxy_pass http://your_fastdfs_backend_address;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
        }
    }
}

Lua 脚本: 在上面的配置中，我们参考了一个名为 my_auth_module 的 Lua 模块。这是一个示例模块，你需要实际创建它来验证 token。

/path/to/your/lua/scripts/my_auth_module.lua:
```
local M = {}

function M.verify_token(token)
    -- Your token verification logic here
    -- For example, check token against a database or other backends
    if token and token == "valid_token" then  -- Just an example
        return true
    else
        return false
    end
end

return M
```
注意：上述 Lua 脚本中的 token 验证只是一个简单的示例。在实际应用中，你需要实现更复杂和安全的逻辑，例如与数据库或其他后端服务进行比较。
启动/重启 Nginx: 保存上述的配置和脚本后，重启 Nginx 以应用更改。
SSL/TLS: 考虑为 Nginx 配置 SSL/TLS，以确保所有传输数据的安全性。

到这边主体功能算是实现了，但是 token == "valid_token" 这种验证逻辑显然不够灵活和安全，我们可以考虑从redis里读取合法token进行校验。

进阶

要实现基于 Redis 的 token 验证，需要使用 Lua 脚本与 Redis 进行交互，并检查 token 是否存在于指定的 Redis set 中。

以下是如何实现这一功能的步骤：

安装 lua-resty-redis: lua-resty-redis 是一个为 OpenResty 设计的 Lua Redis 客户端。确保你已经安装了这个库。
Nginx 配置: 在你的 Nginx 配置中，使用 Lua 脚本来进行 token 验证：

http {
    lua_package_path "/path/to/lua/libs/?.lua;;";

    server {
        listen 80;
        server_name your.domain.com;

        location / {
            access_by_lua_block {
                local redis = require "resty.redis"
                local red = redis:new()

                red:set_timeout(1000)  -- 1 second

                local ok, err = red:connect("127.0.0.1", 6379)  -- Change to your Redis server address and port
                if not ok then
                    ngx.log(ngx.ERR, "Failed to connect to Redis: ", err)
                    ngx.exit(ngx.HTTP_INTERNAL_SERVER_ERROR)
                    return
                end

                local token = ngx.var.arg_token or ngx.req.get_headers()["Authorization"]
                if not token then
                    ngx.exit(ngx.HTTP_UNAUTHORIZED)
                    return
                end

                local is_member, err = red:sismember("redisTokenSet", token)
                if err then
                    ngx.log(ngx.ERR, "Redis error: ", err)
                    ngx.exit(ngx.HTTP_INTERNAL_SERVER_ERROR)
                    return
                end

                if is_member == 1 then
                    -- Token is valid
                else
                    ngx.log(ngx.ERR, "Invalid token")
                    ngx.exit(ngx.HTTP_UNAUTHORIZED)
                end
            }

            proxy_pass http://your_fastdfs_server;
        }
    }
}

在上述配置中，我们使用 lua-resty-redis 连接到 Redis 服务器，并使用 sismember 命令检查 token 是否存在于 redisTokenSet 中。

注意事项:

确保 Redis 服务器是安全的，最好只允许你的应用服务器访问它。
为了增强安全性，可以考虑为 Redis 设置密码，并在 red:connect() 后使用 red:auth("yourpassword") 进行身份验证。
考虑使用 Redis 连接池，以减少创建和关闭连接的开销。
由于这是一个同步操作，确保 Redis 响应快速，以避免阻塞请求。

通过这种方法，你可以在 Nginx 层使用 Redis 进行 token 验证，从而增加应用的安全性和灵活性。

可以看到，这种做法不光适用保护fastdfs，几乎适用所有后台服务。