通过lua进行nginx的权限控制

最新推荐文章于 2023-04-03 18:09:33 发布
最新推荐文章于 2023-04-03 18:09:33 发布
阅读量804 收藏 2
点赞数
文章标签： lua 运维 json
原文链接：http://www.cnblogs.com/marility/p/8490058.html
版权

nginx_lua的安装

  1. nginx使用luajit进行编译安装

  2. 使用openresty进行yum安装

openresty中将lua和nginx进行封装，详情可查看openresty官网

openresty相关启动命令service openresty start

ngx_lua的相关api使用说明及相关使用

  1. ngx_lua github地址
  2. lua基本语法
  3. openrestry最佳实践

ngx_lua的日常使用场景

ngx_lua的执行顺序，可以看这张图
ngx_lua执行顺序

  1. 通过nginx直接进行一些值的显示，此处用到的一般是content_by_lua模块，lua 1.9.5版本中是content_by_lua_block

  2. 通过nginx作访问权限控制，包括重写等，不过nginx也可以直接重写

ngx_lua的实例

业务场景

老板要求访问一个url时进行用户时作权限控制，有权限者可以查看url，无权限者则直接返回错误

其中开发人员写了一个接口，能通过传入的两个参数(报表名和用户名)，返回对应的值

其中实现过程如下

1.登陆入系统lebi.letv.cn中
2.用户需要访问报表链接，其中报表链接均为http://xxx/views/xxx模式
3.访问报表时，nginx先通过lua进行控制，先向开发人员提供的接口http://10.58.91.84:8080/m/api/permission/getSchedulePermission传递报表名和用户名，其中报表名从报表访问链接中获取，用户名从cookie中获取
4.ngx_lua控制访问请求，同时作相关的处理
开发接口返回值说明

开发接口返回值设置三种:

http状态码403为没权限
http状态码200为通过验证
http状态码500为服务错误

相关curl测试状态如下

http 403：

[root@10-110-157-48 conf.d]# curl -i 'http://10.58.91.84:8080/m/api/permission/getSchedulePermission?username=marility&url=http://a/b/c'
HTTP/1.1 403 Forbidden
Server: Apache-Coyote/1.1
Content-Type: application/json;charset=UTF-8
Transfer-Encoding: chunked
Date: Thu, 01 Mar 2018 08:26:05 GMT

{"success":false,"errorMsg":"没有权限,请联系管理员"}



http 200:

[root@10-110-157-48 conf.d]# curl -i 'http://10.58.91.84:8080/m/api/permission/getSchedulePermission?username=letv&url=http://a/b/c'
HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
Content-Type: application/json;charset=UTF-8
Transfer-Encoding: chunked
Date: Thu, 01 Mar 2018 09:45:24 GMT

{"Msg":"有权限查看","success"}


http 500:

[root@10-110-157-48 conf.d]# curl -i 'http://10.58.91.84:8080/m/api/permission/getSchedulePermission?username=letv&url='
HTTP/1.1 500 Internal Server Error
Server: Apache-Coyote/1.1
Content-Type: application/json;charset=utf-8
Transfer-Encoding: chunked
Date: Thu, 01 Mar 2018 10:07:03 GMT
Connection: close

{"errorMsg":"java.lang.ArrayIndexOutOfBoundsException: 2","success":false}

以上测试中url中直接传入测试url=http://a/b/c， 实际中应该动态传入访问报表的链接

ngx_lua中的控制
        location ~ ^/views {
            access_by_lua '
                local res = ngx.location.capture("/matrix_proxy/m/api/permission/getSchedulePermission", {args={username=ngx.var.cookie_example , url=ngx.var.request_uri}})
                if res.status == ngx.HTTP_FORBIDDEN then
                    ngx.exec("@hello")
                elseif res.status == ngx.HTTP_OK then
                    ngx.exec("@/")
                elseif res.status == ngx.HTTP_INTERNAL_SERVER_ERROR then
                    ngx.exec("@servererror")
                else
                    ngx.exec("@error")
                end
        ';}

  1. access_by_lua因为要实现权限控制，所以只能选择access_by_lua，而不能使用content_by_lua

  2. nginx中的lua全文以单引号' '进行囊括

  3. local res, lua中使用local定义一个变量res

  4. 向一个接口发送参数，有两种方法，一种是使用ngx.location.capture方法，另外一种是httpc:request_uri，httpc.request_uri为openresty的第三方模块。 httpc.request_url的api使用说明 , openresty加载第三方模块说明 , 本例中使用capture方法

  5. ngx.location.capture方法不能象httpc:request_uri方法一样直接传入url，而只能是$request_uri，所以此处先进行一层的/matrix_proxy/的封装，而/matrix_proxy通过pass_proxy，将请求反代至接口的服务器ip 10.58.91.84:8080

  6. ngx.location.capture api的使用说明

  7. 此处向接口url传递两个参数，因为要传入变量，所以要以{args={ }}的形式来完成。如果使用httpc.request_uri方法的话，应该可以使用lua的..拼接符进行变量与uri的拼接，有兴趣的同学可以自行测试

  8. lua的http状态码与ngx_lua状态对应表

  9. ngx.var.cookie_COOKIE_KEY 获取用户的cookie的value值，上实例中cookie的key为example。ngx.var.request_uri 获取nginx中的$request_uri值

  10. 从api说明中可以看到ngx.location.capture有4个slots，其中一个是res.status

  11. 判断res.status的结果与http状态码是否相等，lua中等于判断使用==

  12. lua中多重if判断使用elseif

  13. lua中if完整的语句为 if..else..end

  14. 将四种结果均返回进行执行，ngx.exec表示执行后面的location，@hello 中的 @表示nginx内部的传递，不会进行外部的跳转

完整的ngx_lua配制实例
[root@vm-10-112-42-12 conf.d]# cat matrix-tu.conf
upstream matrix.lebi.letv.cn {
    ip_hash;
    server 10.112.42.140:8080;
    server 10.112.42.141:8080;
    server 10.112.42.142:8080;
        keepalive 100;
}

upstream matrix-tu.lebi.letv.cn {
        server 10.110.150.217;
        keepalive 100;
}


server {
        listen  80;
        server_name  matrix-tu.lebi.letv.cn;

        access_log /letv/nginx/logs/lebitableau.a.log main;
        error_log /letv/nginx/logs/lebitableau.error.log;

        location = /favicon.ico {
            log_not_found off;
            log_subrequest off;
        }
        location / {
            proxy_http_version 1.1;
            proxy_set_header Connection "";
            proxy_set_header Host $host;
            proxy_pass  http://matrix-tu.lebi.letv.cn;
            proxy_send_timeout  18000;
            proxy_read_timeout  18000;
            proxy_next_upstream error timeout invalid_header http_500;
            proxy_connect_timeout 20;
        }
        
        location = / {
        return 403;
        }
        
        location ~ /authoring/ {
        return 403;
        }

        location @/ {
            proxy_pass  http://matrix-tu.lebi.letv.cn;
        }

        location ~ /matrix_proxy/(.*) {
            internal;
            proxy_pass http://matrix.lebi.letv.cn/$1$is_args$args;
        }

        location /m/resource/tableauLogin {
                proxy_http_version 1.1;
                proxy_set_header Connection "";
                proxy_set_header Host $host;
                proxy_pass      http://matrix.lebi.letv.cn;
                proxy_send_timeout      18000;
                proxy_read_timeout      18000;
                proxy_next_upstream     error timeout invalid_header http_500;
                proxy_connect_timeout 20;
        add_header Access-Control-Allow-Origin "http://matrix.lebi.letv.cn";
        add_header Access-Control-Allow-Headers "Origin, X-Requested-With, Content-Type, Accept";
        add_header Access-Control-Allow-Methods "GET, POST, OPTIONS";
        add_header Access-Control-Allow-Credentials true;
            }

        location @error {
                        default_type 'text/plain';
                        content_by_lua 'ngx.say("lua error")';

        }
        location ~ /wenz_img.png$ {
            root /etc/nginx/forbidden;
        }

        location ~ /beierx_img.png$ {
            root /etc/nginx/forbidden;
        }


        location ~ /error_bg.png$ {
            root /etc/nginx/forbidden;
        }



        location @servererror {
            default_type 'text/plain';
            content_by_lua 'ngx.say("server error")';
        }

        location @forbidden {
            return 403;
        }
        
        location @nousername {
            rewrite ^(.*)$ http://matrix.lebi.letv.cn/#/index break;         ##所有页面跳转到登录页面
        }
        
        #proxy_intercept_errors on;
        error_page 403 /403.html;

        location = /403.html {
        root /etc/nginx/forbidden;
        #internal;
        }


        proxy_intercept_errors on;         ##加入将http反代错误拦截并以nginx的错误状态码显示
        error_page 404 /404.html;        ##自定义nginx的404错误显示页面
        location = /404.html {
        root /etc/nginx/forbidden;
        }

        location @ok {
            default_type 'text/plain';
            content_by_lua 'ngx.say("authorized ok, cookie=", ngx.var.cookie_78bdfe11ce353909cb210160a76c330b)';
        }

        location ~ ^/views/ {
            #default_type 'text/plain';
            access_by_lua '
            --local cookie_value = ngx.var.cookie_78bdfe11ce353909cb210160a76c330b
            --ngx.say("cookie= ", cookie_value)
            local res = ngx.var.cookie_78bdfe11ce353909cb210160a76c330b
            if not res then
                ngx.exec("@nousername")                ##判断是否能获取到用户的cookie，如果不能获取，则直接执行nousername规则，进行用户登录页面的跳转
            else
                local res = ngx.location.capture("/matrix_proxy/m/api/permission/getSchedulePermission", {args={username=ngx.var.cookie_78bdfe11ce353909cb210160a76c330b , url=ngx.var.request_uri}})
                if res.status == ngx.HTTP_FORBIDDEN then
                    ngx.exec("@forbidden")
                elseif res.status == ngx.HTTP_OK then
                    ngx.exec("@/")
                elseif res.status == ngx.HTTP_INTERNAL_SERVER_ERROR then
                    ngx.exec("@servererror")
                else
                    ngx.exec("@error")
                end
            end
        ';}
}

转载于:https://www.cnblogs.com/marility/p/8490058.html

weixin_34087503
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
通过 lua 进行 nginx redis 访问控制_ngx lua red incr
m0_46608024的博客
04-12 799
最近很多小伙伴找我要Linux学习资料，于是我翻箱倒柜，整理了一些优质资源，涵盖视频、电子书、PPT等共享给大家！
Windows 环境下nginx 静态资源服务器（图片，文件）权限控制（nginx/openresty/lua）
MyBurden的博客
03-08 5320
通过nginx配置server以后，我们可以很方便的直接访问到文件服务器上的文件资源，但是某些情况下，文件资源可能是隐私图片，比如客户注册时上传的身份证照片等等，这时候我们需要对图片访问进行控制，必须登录后才能查看到这些隐私图片。
Nginx配置ip白名单（服务权限控制）
MrWangisgoodboy的博客
03-28 2752
Nginx 是一款高性能的 HTTP 和反向代理服务器。它可以通过配置文件实现权限控制，从而限制或允许特定的 IP 地址、网络或用户访问指定的资源。Nginx 可以使用 HTTP 基本认证来实现用户名和密码的访问控制。首先，需要创建一个包含用户名和密码的文件。Nginx 还可以限制用户的连接速度，以防止滥用或保护资源。指令来允许或拒绝特定 IP 地址或网络的访问。路径，其他 IP 地址的用户将被拒绝。然后，在 Nginx 配置文件中，使用。路径的用户输入有效的用户名和密码。上述配置允许 IP 地址为。
Nginx + Lua + API：实现精准城市级别的访问控制
漠效的博客
04-03 1408
在实际的 Web 项目中，有时需要根据客户端位置信息进行访问控制。例如，某些网站可能只允许特定省份或城市的用户访问，而其他地区的用户则无法访问。通常如果要限制地区，通常有如下几种限制方式：在代码层面进行处理，即通过代码判断客户端 IP 所在的省份或城市，然后根据判断结果进行访问控制访问控制逻辑需要集成到应用程序中，难以实现全局有效的访问控制每次请求都需要进行 IP 地址查询和解析，会增加服务器负担攻击者可以伪造 IP 地址等信息来规避访问控制。
nginx使用lua通过request_body按条件开放访问权限
云深海阔专栏
11-25 1568
需求：当我们的请求在我们条件内的主机上时只允许balance.query和asset.list请求，其余主机不受限制。此时测试也符合要求，在条件主机和非条件主机对应的两个接口都不受影响。1、在条件内的不同主机上执行balance.query请求。非条件请求asset.summary在条件主机上的请求。上面已经测试了条件请求在条件主机上能正常请求。在条件主机上：192.168.1.159。在非条件主机192.168.1.36。3、测试非条件请求在条件主机上的测试。4、条件主机上的不同请求。
Nginx+Lua实现sso单点登录（请求鉴权+获取用户Session信息）
qq_43147161的博客
02-18 4305
Nginx+Lua实现sso单点登录
Lua程序设计.pdf_lua_nginx_
10-04
2. 身份验证和授权：利用Lua处理HTTP请求，进行用户身份验证和权限检查，提高安全性。 3. 数据缓存：Lua可以与Redis等缓存系统交互，快速响应高并发场景下的数据读取需求。 4. 日志处理：通过Lua脚本收集、分析和...
lua-nginx-module-0.10.20.tar.gz
11-15
通过Lua脚本检查用户权限，实现精细化的访问控制；使用Lua生成动态内容，提高页面响应速度；利用Lua进行日志格式化和分析，提升运维效率。 总的来说，lua-nginx-module-0.10.20是Nginx服务器中一个强大的工具，它将...
nginx lua.ppt
08-20
ngx_lua 是 Nginx 的一个扩展模块，它允许在 Nginx 配置文件中使用 Lua 脚本进行更复杂的逻辑处理。这个技术结合了 Nginx 的高性能和 Lua 的轻量级、高效的特性，使得动态处理和静态内容分发得以更好地融合。 在 ...
nginx lua示例代码
08-08
3. **访问控制**：基于Lua实现身份验证、权限控制等安全机制。 ```lua local auth = ngx.var.http_auth if auth == "user:password" then ngx.say("Access granted") else ngx.exit(ngx.HTTP_UNAUTHORIZED) end `...
nginx-lua-webhook:openresty 网络钩子
06-20
3. **API 网关**：可以利用 `Lua` 脚本实现 API 网关的功能，包括路由转发、权限控制、限流、熔断等，提高系统的可扩展性和可靠性。 4. **日志记录**：自定义 `Lua` 日志模块，将请求日志直接写入数据库、消息队列...
nginx添加权限控制
03-05
nginx添加权限控制
Nginx+lua通过url传参的方式实现动态代理
07-20
需求大致如下:通过url传参的方式,让Nginx代理到不同的服务器 浏览器输入:http://127.0.0.1/remote?port=8081被代理到:http://192.168.108.2:8081
nginx 权限控制
weixin_43931625的博客
10-15 1964
nginx权限控制
Nginx基于Basic Auth实现静态资源的访问权限控制
of chen的博客
11-16 1797
最近遇到一个小项目，有这样一个需求：需要把一些静态资源挂在web容器下提供给对方，毫无疑问，可以用nginx实现，但需要一定的鉴权（账号密码或token）不同的用户能访问的资源是不一样的，因为项目很小，项目金额也有限，肯定是考虑最小的成本实现，因此查找了一些nginx相关的资料。
Nginx 权限控制文件的预览和下载
qq_42569946的博客
09-27 2014
Nginx 权限控制文件的预览和下载
Nginx访问控制
weixin_72435491的博客
10-13 1277
Nginx访问控制
nginxlua文件服务器权限,通过lua进行nginx的权限控制
weixin_36374105的博客
08-09 647
nginx_lua的安装nginx使用luajit进行编译安装使用openresty进行yum安装openresty中将lua和nginx进行封装，详情可查看openresty官网openresty相关启动命令service openresty startngx_lua的相关api使用说明及相关使用ngx_lua的日常使用场景ngx_lua的执行顺序，可以看这张图通过nginx直接进行一些值的显示...
Nginx简单权限配置
nihaio25的博客
02-05 5465
介绍使用nginx的basic_auth来控制的方式。
如何用Nginx解决前端跨域问题？
最新发布
07-14
Nginx可以通过配置来解决前端跨域问题。...另外，如果需要更加灵活的跨域配置，还可以使用Nginx的第三方模块，如`ngx_http_headers_module`、`ngx_http_lua_module`等，通过自定义Lua脚本或配置更复杂的跨域策略。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值