ubergarm/openresty-nginx-jwt

openresty-nginx-jwt

基于nginx、openresty和lua-resty-jwt的JWT Bearer Token授权解决方案，无需修改服务器端代码即可为API端点、反向代理服务或位置块设置JWT授权。

核心功能

• 支持通过Authorization头、URL参数、Cookie三种方式传递JWT Token
• 基于开源工具构建，配置灵活易扩展
• 无需修改后端服务代码即可实现身份验证层

使用场景

• 保护内部API接口防止未授权访问
• 为反向代理服务添加JWT身份验证层
• 快速为静态资源或动态服务设置轻量级身份验证

配置说明

1. 编辑nginx.conf设置自定义位置块（location block）
2. 编辑bearer.lua或创建新的Lua脚本以满足特定位置块的验证需求
3. 重启容器并挂载所需的配置文件

部署示例

启动服务端

bash
docker run --rm \
           -it \
           -e JWT_SECRET=secret \
           -v `pwd`/nginx.conf:/nginx.conf \
           -v `pwd`/bearer.lua:/bearer.lua \
           -p 8080:8080 \
           ubergarm/openresty-nginx-jwt

客户端请求示例

需先安装httpie工具（apt-get install httpie或brew install httpie）：

1. 通过Authorization头传递Token：

bash
http --print HBhb localhost:8080/secure/ "Authorization:Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ"

2. 通过URL参数传递Token：

bash
http --print HBhb localhost:8080/secure/?token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

3. 通过Cookie传递Token：

bash
http --print HBhb localhost:8080/secure/ "Cookie:token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ"

构建自定义镜像

编辑Dockerfile后执行以下命令：

bash
docker build -t ubergarm/openresty-nginx-jwt .

注意事项

• 最初尝试使用auth0/nginx-jwt，但发现直接使用lua-resty-jwt更简单直接
• 若需要JWT授权之外的更多API中间件功能，可参考kong（[***]
• 对于简单项目，Caddy服务器可能更高效

参考链接

• https://github.com/openresty/docker-openresty
• https://github.com/SkyLothar/lua-resty-jwt
• https://github.com/svyatogor/resty-lua-jwt
• [***]
• [***]