Nginx可通过http块中auth_request全局启用统一鉴权，配合/_auth internal接口、error_page跳转及auth_request off豁免登录页/静态资源等路径，实现安全可控的网关级认证。

直接在 http 块里用 auth_request 实现全局统一身份验证，核心是把鉴权逻辑“收口”到网关层，所有请求（无论路径）都先过一道认证检查，而不是在每个 location 里重复配置。

全局启用 auth_request 的关键配置

在 http 块顶层定义一个默认的鉴权入口，并通过 auth_request 指令设为默认行为：

• 添加 auth_request /_auth; 到 http 块，这样所有未显式关闭该指令的 location 都会自动触发鉴权
• 配合 auth_request_set $user $upstream_http_x_user; 提前提取认证服务返回的用户标识
• 用 proxy_set_header X-User $user; 把用户信息透传给后端，避免每个 location 单独写
• 确保 /_auth location 带 internal;，禁止外部直连，且只做轻量转发

覆盖例外路径：静态资源与登录页不鉴权

不是所有路径都需要验证。必须显式关闭 auth_request 的地方包括：

• 登录接口（如 /login、/oauth/authorize），否则用户永远进不来
• 公开静态资源（如 /assets/、/health、/favicon.ico）
• 前端打包后的 /index.html 和 SPA 路由 fallback，否则 Vue/React 路由会 401
• 在对应 location 中加 auth_request off; 即可，优先级高于 http 块的默认设置

透传上下文给认证服务

全局鉴权时，认证服务需要知道“谁在访问什么”，Nginx 必须稳定透传关键信息：

• X-Original-URI 和 X-Original-Method：让认证服务判断是否具备该路径+方法的权限
• Authorization 头：需在 /_auth location 显式写 proxy_set_header Authorization $http_authorization;，因为 Nginx 默认不透传
• Cookie：若走 Session 登录（如 SSO），加 proxy_pass_request_headers on; 并确保认证服务能识别该 Cookie
• 避免带请求体：proxy_pass_request_body off; + proxy_set_header Content-Length "";，除非认证接口明确需要 POST body

失败响应要导向登录页，而非裸状态码

返回 401 给前端会导致页面白屏或报错，应由 Nginx 主动跳转：

• 在 http 块加 error_page 401 =302 https://auth.example.com/login?redirect_uri=$scheme://$host$request_uri;
• 如果认证服务返回 403，同样配 error_page 403 =302 ... 或返回自定义拒绝页
• 确保登录页本身在 location 中已设 auth_request off;，形成闭环
• 对 /login 后的回调地址（如 /callback）也要豁免鉴权