taylorludwig/oauth2_proxy

oauth2_proxy镜像说明

镜像概述

oauth2_proxy是一个反向代理和静态文件服务器，通过Google、GitHub等OAuth提供者验证用户账户，支持按***、域名或群组授权访问。本镜像基于2018年11月27日从bitly/OAuth2_Proxy分叉的仓库构建，v3.0.0及以上版本为分叉后的更新版本。

核心功能

• 支持多种OAuth提供者：Google（默认）、Azure、***、GitHub、GitLab、LinkedIn等
• 按域名、特定列表或群组限制访问
• 静态文件服务能力
• 支持SSL配置或配合Nginx等反向代理实现SSL终止
• 提供请求签名、日志格式化等扩展功能
• 支持通过配置文件、命令行参数或环境变量进行配置

使用场景

• 保护内部Web服务，仅允许授权用户访问
• 提供静态资源的安全访问控制
• 集成企业OAuth认证体系，统一用户登录入口

配置说明

基础配置

1. 选择OAuth提供者：通过--provider参数指定（如--provider google），需在对应平台注册OAuth应用并获取Client ID和Client Secret。
2. 授权：使用--email-domain=yourcompany.com限制特定域名用户，或--authenticated-emails-file指定允许的列表。
3. Cookie配置：生成安全的Cookie密钥（命令：python -c 'import os,base64; print(base64.urlsafe_b64encode(os.urandom(16)).decode())'），通过--cookie-secret设置。

Docker部署示例

Docker Run命令

bash
docker run -d \
  --name oauth2_proxy \
  -p 4180:4180 \
  -e OAUTH2_PROXY_CLIENT_ID="你的Google客户端ID" \
  -e OAUTH2_PROXY_CLIENT_SECRET="你的Google客户端密钥" \
  -e OAUTH2_PROXY_COOKIE_SECRET="生成的Cookie密钥" \
  taylorludwig/oauth2_proxy \
  --email-domain="你的公司域名.com" \
  --upstream="http://后端服务地址:8080" \
  --redirect-url="https://你的域名.com/oauth2/callback" \
  --provider="google"

配合Nginx的SSL配置

Nginx作为SSL终止层，代理请求到oauth2_proxy：

nginx
server {
    listen 443 ssl;
    server_name 你的域名.com;
    ssl_certificate /path/to/证书.pem;
    ssl_certificate_key /path/to/密钥.key;
    add_header Strict-Transport-Security max-age=2592000;

    location / {
        proxy_pass http://127.0.0.1:4180;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Scheme $scheme;
    }
}

关键端点

• /oauth2/sign_in：登录页面（同时支持登出）
• /oauth2/callback：OAuth认证回调地址
• /oauth2/auth：用于Nginx auth_request指令的认证端点
• /ping：健康检查端点
• /robots.txt：返回禁止爬虫的配置