nginx 可以通过二级目录进行用户验证吗

用 xiuno 搭建了一个用来专门做笔记的论坛，主要看上它可以 web 端访问，手机也可以随时查阅，搜索可以标题搜索，也可以内容搜索。
放在腾讯云上面，在腾讯云的后台防火墙设置了 ip 白名单可以访问，但是现在想分享给认识的人也能访问也不想完全开放到互联网，但是又不想被一堆机器人扫描，因为目前我有个服务器为了做企业微信的验证，开放 80 端口，就一堆扫描爆破，只能通过记录日志，把那些 ip 拉入防火墙黑名单，黑名单容量有限还要定期删除一部分
另外我曾经建个自己用的 phpwind 论坛开放互联网访问，结果一堆机器人在上面发乱七八糟的广告信息
为了给某人访问，给他添加防火墙白名单也很麻烦，虽然可以通过腾讯云的 api 添加，但是一个人还好，人多了就要添加很多条 ip 白名单，而且手机的 ip 地址隔段时间还会变的
因为分享网站链接给别人是在微信上的，如果在 nginx 使用 auth_basic 认证，微信内置浏览器不会弹出输入用户名密码的框，直接显示 401 Authorization Required
目前我有一个想法，现在我有个企业微信，可以自建应用，可以拉朋友进应用里，他只有在应用里点击访问的菜单按钮，应用会接到后台服务器，后台软件会通过 2FA 验证器方式生成一个 6 位的数字（我把有效期设置为两个小时），然后就会生成一个包含验证数字的网址，比如 myxiuno.com/342567 ，后台软件也会用 2FA 验证器以同样的密钥在网站根目录生成一个作为验证的 342567 的文件夹，软件会每两小时重命名验证文件夹然后 nginx 能否实现检测访问网址的二级目录和网站验证文件夹名字做比较，如果是一样的，那么就 proxy_pass http://127.0.0.1:8888/;#搭建的论坛访问端口比如访问的网址是 myxiuno.com/342567/?thread-311.htm ，如果网站根目录的验证文件夹名字是 342567 ，那就可以正确访问到 http://127.0.0.1:8888/?thread-311.htm 。但是如果是 myxiuno.com/?thread-311.htm ，或者验证码过期了 myxiuno.com/652092/?thread-311.htm ，那么就返回 404

我目前是这样写配置的

 location / { root C:\website; if (-f $request_filename) { proxy_pass http://127.0.0.1:8888/; } return 404; }

可是提示错误

nginx: [emerg] "proxy_pass" cannot have URI part in location given by regular expression, or inside named location, or inside "if" statement, or inside "limit_except" block in C:\phpstudy_pro\Extensions\Nginx1.15.11/conf/nginx.conf:275

请问我上面设想的功能能否通过 nginx 实现，如果能实现是我上面配置写的有问题吗，应该怎么修改

Nginx

访问

验证

proxy_pass

6 条回复 2024-02-04 09:16:25 +08:00

cctv6

2024-02-04 01:16:36 +08:00 via Android

用 lua 脚本去实现比较方便。我有个网站就这么做的，访问一个特定的 url 后，lua 脚本里面获取客户端的 ip ，把 ip 加入到白名单，白名单有效时间几个小时。

xx@opsc:/data/www/lua$ cat save_ip.lua
-- save_ip.lua
-- 获取客户端 IP 地址
local client_ip = ngx.var.remote_addr
-- 设置 shared dictionary 的名称和键
local dict_name = "ip_dict"
local dict_key = client_ip
-- 设置过期时间为 3600 秒（ 1 小时）
local expire_time = 28800
-- 将 IP 保存到 shared dictionary 并设置过期时间
local ok, err = ngx.shared[dict_name]:set(dict_key, true, expire_time)
if not ok then
ngx.log(ngx.ERR, "Failed to save IP in dictionary: ", err)
ngx.exit(500)
end
ngx.header.content_type = "text/plain"
ngx.say('Added: ', client_ip)
ngx.log(ngx.INFO, "IP saved: ", client_ip)
xx@opsc:/data/www/lua$ cat check_ip.lua
-- check_ip.lua
--
-- nginx.conf: lua_shared_dict ip_dict 10m;
-- 获取客户端 IP 地址
local client_ip = ngx.var.remote_addr
-- 设置 shared dictionary 的名称和键
local dict_name = "ip_dict"
local dict_key = client_ip
-- 设置白名单，这里假设白名单为一个 Lua table
local whitelist = {
["127.0.0.1"] = true,
["10.10.0.1"] = true,
-- 添加其他白名单 IP
}
-- 检查是否在白名单中
if whitelist[client_ip] then
ngx.log(ngx.INFO, "IP is in whitelist: ", client_ip)
else
-- 检查 shared dictionary 中是否存在客户端 IP
local ip_found = ngx.shared[dict_name]:get(dict_key)
-- 如果 IP 不存在，则返回 403
if not ip_found then
ngx.log(ngx.INFO, "IP not found: ", client_ip)
ngx.exit(403)
end
ngx.log(ngx.INFO, "IP found: ", client_ip)
end

Vegetable

2024-02-04 01:18:48 +08:00

我看你描述了一大堆需求，路子不太对，不过既然已经到了这一步，还是看最后的问题吧

proxy_pass 不能出现在 if 里边，但是你可以通过变量来变相实现这个配置。总结你的需求：如果匹配了，就 proxy_pass ，不匹配就 404 。

一个可行的方案是:
set $final_upstream = 必然 404 的地址;
if (condition) {
$final_upstream = http://127.0.0.1:8888/;
}
proxy_pass $final_upstream;

这样也会有一些别的限制，nginx 要在启动时解析出所有可能的 upstream ，所以你的 127.0.0.1 或者 404 地址包含域名，就需要动态 dns 。

colitude

2024-02-04 01:29:46 +08:00

@Vegetable if (condition) 这个 condition 要怎么写

colitude

2024-02-04 01:33:02 +08:00

@cdlnls 谢谢，之前搜索答案的时候也出现过类似 lua 的解决方案，不过我现在用的 phpstudy 里面的 nginx ，找不到怎么开启 lua 模块，以为可以直接通过改 nginx.conf 实现，所以上来问问
另外我的需求确实类似“访问一个特定的 url 后，lua 脚本里面获取客户端的 ip ，把 ip 加入到白名单，白名单有效时间几个小时”

colitude

2024-02-04 01:38:09 +08:00

@Vegetable 或者说 nginx 能不能读取访问网址 myxiuno.com/342567/?thread-311.htm 中间那个 342567 作为一个变量，然后读取文件名，或者文件名里面的 342567 （这个两小时会更新的）作为另外一个变量做比对

akagishigeru

2024-02-04 09:16:25 +08:00

auth_request 呢？我没试过 Get 转发，你可以让你认证系统内的用户生成一个 token ，然后通过 auth_request 传递 token 到这个页面的认证下?