Nginx 通过 location 配合 auth_basic、IP 限制、请求头校验及 auth_request 指令，可实现基于角色的路径级权限控制：公开资源免认证，普通用户需基础认证，管理员需强认证或 IP 白名单，亦支持 JWT/OAuth2 头信息路由与外部鉴权服务集成。
Nginx 本身不内置用户身份认证（如登录态、角色判断），但它可以通过组合 location、auth_basic、IP 限制、请求头校验、以及与后端鉴权服务协同，实现基于不同身份的权限映射逻辑。关键在于：把“谁有权限访问什么路径”这个规则，用 Nginx 的配置语言表达清楚。
按身份类型区分访问路径
最常见做法是用 location 块配合不同鉴权方式，把不同角色导向不同资源或代理目标：
- 管理员路径（如
/admin/）需强认证 - 普通用户路径（如
/user/）可宽松校验 - 公开资源（如
/static/,/api/public）无需认证
示例：
# 公开静态资源，不限制身份
location /static/ {
root /var/www/app;
expires 1y;
}
# 普通用户接口，要求基础认证（用户名密码）
location /api/user/ {
auth_basic "User Area";
auth_basic_user_file /etc/nginx/conf.d/users.htpasswd;
proxy_pass http://backend-user;
}
# 管理员专用接口，额外校验请求头或 IP 白名单
location /api/admin/ {
satisfy any;
allow 192.168.10.0/24; # 内网 IP 可直通
deny all;
auth_basic "Admin Area";
auth_basic_user_file /etc/nginx/conf.d/admins.htpasswd;
proxy_pass http://backend-admin;
}⚠️ 注意：
satisfy any表示满足任一条件（IP 或密码）即可通过；satisfy all则需全部满足。
用请求头传递身份信息做路由
当上游已做统一认证（如 OAuth2、JWT），Nginx 可信任 Authorization 或自定义头（如 X-User-Role），据此做路径分发：
# 假设后端在认证后注入 X-User-Role: admin 或 user
map $http_x_user_role $backend_upstream {
default backend-default;
admin backend-admin;
user backend-user;
}
upstream backend-default { server 127.0.0.1:8001; }
upstream backend-admin { server 127.0.0.1:8002; }
upstream backend-user { server 127.0.0.1:8003; }
server {
location /api/ {
proxy_pass http://$backend_upstream;
proxy_set_header X-Real-IP $remote_addr;
# 不透传敏感头，避免绕过
proxy_hide_header Authorization;
}
}这样，同一 /api/ 路径，实际转发到不同后端，由角色决定。
结合外部鉴权服务（推荐用于生产）
Nginx Plus 或开源版搭配 auth_request 指令，可将权限判定交给独立服务（如 Keycloak、Auth0、自研鉴权 API）：
# 定义鉴权子请求
location = /auth {
internal;
proxy_pass https://auth-service/verify;
proxy_pass_request_body off;
proxy_set_header Content-Length "";
proxy_set_header X-Original-URI $request_uri;
}
# 应用鉴权到具体路径
location /private/ {
auth_request /auth;
auth_request_set $auth_status $upstream_status;
error_page 401 = @error401;
proxy_pass http://app-backend;
}
location @error401 {
return 401 "Access denied";
}此时，每次访问 /private/ 前，Nginx 会先向 /auth 发起子请求；只有返回 2xx，才放行。鉴权服务可解析 JWT、查数据库、判断 RBAC 规则，灵活度远超 Nginx 原生命令。
避免常见误区
-
deny/allow只基于 IP 或变量，不能识别“登录用户是谁”，别指望它做角色控制 -
auth_basic是 HTTP Basic 认证，密码明文传输（必须配 HTTPS），且无法区分角色，仅适合简单场景 -
if指令在location外不可靠，权限逻辑尽量写在location块内或用map+auth_request解耦 - 静态文件（如
/admin/js/app.js）若放在受保护路径下，也要确保其所在location同样受鉴权约束，否则可能被绕过
不复杂但容易忽略。
