truespirit/openresty Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

OpenResty 反向认证代理镜像

镜像概述

本镜像基于OpenResty构建，作为反向认证代理使用，集成了lua-resty-session和lua-resty-openidc模块，提供身份验证和会话管理能力，适用于需要对后端服务进行认证保护的场景。

核心功能与特性

集成模块

• lua-resty-session：提供会话管理功能，支持多种会话存储方式
• lua-resty-openidc：实现OpenID Connect客户端功能，支持与OAuth2.0/OpenID Connect身份提供商集成
• lua-resty-ipmatcher：提供IP地址匹配功能，支持IPv4和IPv6地址及CIDR范围匹配

编译配置选项

构建时使用以下配置选项：

bash
--with-compat \
--with-file-aio \
--with-http_addition_module \
--with-http_auth_request_module \
--with-http_dav_module \
--with-http_flv_module \
--with-http_geoip_module=dynamic \
--with-http_gunzip_module \
--with-http_gzip_static_module \
--with-http_image_filter_module=dynamic \
--with-http_mp4_module \
--with-http_random_index_module \
--with-http_realip_module \
--with-http_secure_link_module \
--with-http_slice_module \
--with-http_ssl_module \
--with-http_stub_status_module \
--with-http_sub_module \
--with-http_v2_module \
--with-http_v3_module \
--with-http_xslt_module=dynamic \
--with-ipv6 \
--with-mail \
--with-mail_ssl_module \
--with-md5-asm \
--with-sha1-asm \
--with-stream \
--with-stream_realip_module \
--with-stream_ssl_preread_module \
--with-stream_ssl_module \
--with-threads

使用场景

• 作为反向代理保护后端API或Web服务，实现统一身份认证
• 集成OpenID Connect身份提供商（如Keycloak、Auth0等）进行用户认证
• 通过IP地址匹配实现访问控制，限制特定IP或IP段访问

使用方法与配置说明

IP匹配功能示例

使用lua-resty-ipmatcher模块进行IP地址匹配：

lua
local ipmatcher = require "resty.ipmatcher"

-- 创建IP匹配器，支持IP地址和CIDR范围
local ip, err = ipmatcher.new({
    "127.0.0.1", "192.168.0.0/16", "::1", "fe80::/16",
})

-- 检查IP是否匹配
local ok, err = ip:match("127.0.0.1") -- 返回 true

基本部署示例

Docker Run 命令

bash
docker run -d -p 80:80 -p 443:443 \
  -v /path/to/nginx.conf:/usr/local/openresty/nginx/conf/nginx.conf \
  --name openresty-auth-proxy \
  [镜像名称]

Nginx配置示例（nginx.conf）

nginx
worker_processes auto;

events {
    worker_connections 1024;
}

http {
    include mime.types;
    default_type application/octet-stream;
    
    server {
        listen 80;
        
        location / {
            # 配置OpenID Connect认证
            access_by_lua_block {
                local opts = {
                    discovery = "https://your-oidc-provider/.well-known/openid-configuration",
                    client_id = "your-client-id",
                    client_secret = "your-client-secret",
                    redirect_uri = "http://your-proxy/callback",
                    scope = "openid email profile"
                }
                local res, err = require("resty.openidc").authenticate(opts)
                if err then
                    ngx.status = 500
                    ngx.say(err)
                    ngx.exit(ngx.HTTP_INTERNAL_SERVER_ERROR)
                end
            }
            
            # 反向代理到后端服务
            proxy_pass http://backend-service:8080;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
        }
    }
}

注意事项

• 镜像中包含的第三方模块商标归各自所有者所有，使用不意味着任何关联或背书
• 生产环境中应根据实际需求调整Nginx配置，特别是安全相关设置（如SSL证书、会话安全等）
• 如需扩展功能，可通过挂载自定义Nginx配置文件或Lua脚本实现