Nginx可通过map指令映射合法API Key并标记合法性，在log_format中记录$valid_api_key值，结合401/403状态码、Authorization头异常及高频请求等特征实现非法调用实时拦截与审计。
直接在 Nginx 层拦截并记录非法 API-Key 调用，是最轻量、最及时的审计方式。它不依赖后端服务响应状态，而是在请求进入模型服务前就完成校验与日志落盘。
启用 Nginx 的 API-Key 校验与日志标记
Nginx 本身不存储密钥，但可通过 map 指令建立合法 Key 列表映射，并用变量标记请求合法性：
- 在
http块中定义合法 Key 映射（支持多 Key，建议用文件外部管理）：
map $http_authorization $valid_api_key {
default 0;
"~*Bearer\s+sk-prod-abc123" 1;
"~*Bearer\s+sk-test-def456" 1;
}
- 在
log_format中加入自定义字段，例如$valid_api_key，让每条日志都带“是否通过校验”标识； - 确保 access_log 使用该格式，且日志路径有写入权限。
识别非法 Key 的关键日志特征
非法 Key 请求在 Nginx 日志中通常表现为以下组合：
- HTTP 状态码为 401 或 403：这是最明确的信号，说明认证失败；
-
$valid_api_key值为 0，且$http_authorization字段存在但不匹配任何白名单； - 请求头中
Authorization字段格式异常，如缺少Bearer前缀、含空格/换行、或明显是测试值（sk-xxx、test123）； - 同一 IP 在短时间内高频触发 401，可能为暴力探测或配置错误批量调用。
快速定位与导出非法调用记录
借助标准 Linux 工具或日志平台，可高效筛查：
- 筛选最近一小时所有非法 Key 请求：
grep '" 401 ' /var/log/nginx/access.log | awk '$9==401 && $15==0 {print}' | head -20
- 提取全部可疑 Authorization 头去重统计：
awk '$9==401 {match($0, /Authorization: ([^"]+)/, a); print a[1]} ' /var/log/nginx/access.log | sort | uniq -c | sort -nr
- 若已接入 ELK 或 SLS，可在 Kibana 或日志服务控制台中设置查询：
status: 401 AND valid_api_key: "0"，并按 IP、User-Agent、时间趋势下钻分析。
联动响应：从审计到阻断
日志只是起点，发现异常后应立即闭环：
- 对高频恶意 IP，添加
deny规则或集成 fail2ban； - 若某 Key 出现在大量 401 日志中，说明它可能被误用或泄露，需在上游系统（如 Taotoken 或 OneAPI）中立即禁用；
- 将
$http_authorization和$remote_addr写入独立审计日志文件，满足合规留存要求（默认保留 30 天，建议同步至对象存储）； - 配合 Nginx 的
limit_req，对未通过 Key 校验的请求单独限流，避免探测攻击耗尽连接资源。
