NGINX 共享 API 身份验证示例

本文将介绍如何使用 NGINX 和 Lua 脚本实现共享 API 身份验证。具体来说，我们将使用 NGINX 的 subrequest 和 Lua 脚本来验证客户端的 API 密钥，并将验证结果缓存到共享内存中以提高性能。

跨步骤

本示例将包含以下步骤：

1. 在 NGINX 中设置 Lua 脚本和共享内存
2. 编写 Lua 脚本以验证 API 密钥并将结果缓存到共享内存中
3. 配置 NGINX 将 API 请求转发到 Lua 脚本进行身份验证

设置 Lua 脚本和共享内存

首先，在 NGINX 中设置 Lua 脚本和共享内存以存储 API 密钥和验证结果。可以使用以下配置块：

lua_shared_dict api_keys 1m;
lua_package_path "/path/to/lua/script/?.lua;"

在上面的示例中，我们定义了一个名为 api_keys 的共享内存区域，其大小为 1MB，并将 Lua 脚本的路径添加到 lua_package_path 中以方便 NGINX 引擎查找。

编写 Lua 脚本

接下来，我们需要编写 Lua 脚本以验证客户端的 API 密钥。可以使用以下示例代码：

local api_key = ngx.var.http_api_key
if api_key == nil then
  return ngx.exit(403)
end

local cache_key = "api_key:" .. api_key
local cache = ngx.shared.api_keys
local is_valid = cache:get(cache_key)

if is_valid == true then
  -- API key is valid
else
  -- API key is invalid or not found in cache
  -- Perform API request to validate key and update cache if valid
  local httpc = require "resty.http"
  local http = httpc.new()
  local res, err = http:request_uri("http://api.example.com/validate?key=" .. api_key, {
    method = "GET"
  })

  if res.status == ngx.HTTP_OK and res.body == "true" then
    -- API key is valid, cache result
    cache:set(cache_key, true, 60) -- cache for 60 seconds
  else
    -- API key is invalid, return 403 Forbidden
    return ngx.exit(403)
  end
end

在上面的示例中，我们首先获取客户端提交的 API 密钥。如果密钥不存在，则返回 HTTP 403 Forbidden 状态码。然后，我们将 API 密钥与共享内存中的缓存进行比较。如果缓存存在，则直接返回。否则，我们将使用 resty.http 库执行 API 请求以验证密钥，并根据 API 请求的结果更新缓存。

配置 NGINX

现在，我们可以将 API 请求转发到 Lua 脚本进行身份验证。可以使用以下示例配置：

location /api {
  internal;
  set $api_key '';
  if ($request_method = 'POST') {
    set $api_key $request_body;
  }
  if ($request_method = 'GET') {
    set $api_key $arg_key;
  }
  proxy_pass_request_body off;
  proxy_set_header Content-Length "";
  proxy_set_header X-Original-URI $request_uri;
  proxy_set_header X-Original-Method $request_method;
  proxy_cache api_cache;
  proxy_cache_valid 200 60s;
  proxy_cache_key "$scheme$request_method$host$request_uri$api_key";
  proxy_cache_lock on;
  proxy_cache_lock_timeout 5s;
  auth_request /api/auth;
}

location /api/auth {
  internal;
  internal; # make sure this location is not accessible from external requests
  content_by_lua_file "/path/to/lua/script.lua";
}

在上面的示例中，我们将 API 请求发送到 /api 子目录，然后使用 auth_request 指令将身份验证请求转发到 /api/auth 子目录。然后，我们设置了一个新的变量 $api_key，它根据请求方法和请求参数从请求中提取 API 密钥。最后，我们配置了 NGINX 缓存以提高性能。

结论

这就是使用 NGINX 和 Lua 脚本实现 API 身份验证的示例。此方法使得身份验证结果可以缓存，并且可以轻松地扩展和修改。