Nginx 不支持访问策略自动过期，需通过四类方案实现：一、URL临时授权（如预签名链接），依赖时间戳校验；二、静态资源缓存时效控制，靠响应头驱动；三、反向代理层逻辑过期，配合后端缓存策略；四、借助外部服务（如JWT、Redis、权限服务）协同实现真正策略过期。
Nginx 本身不支持“访问策略自动过期”这种带时间触发、动态撤销权限的机制——它不是权限网关，也没有内置的策略生命周期管理功能。所谓“访问策略过期”，实际需拆解为两类常见场景，并用对应 Nginx 原生能力组合实现：
一、URL 临时授权（如预签名链接）
适用于下载链接、后台接口临时访问等，核心是校验请求时间戳是否在有效窗口内：
- 利用
$time_iso8601或$date_gmt提取当前时间 - 用
map指令解析请求参数中的过期时间（如?expires=1719835200） - 结合
if+return 403拒绝超时请求
示例配置：
map $arg_expires $is_expired {
default 1;
"" 1;
~^[0-9]+$ 0;
}
server {
location /temp-download/ {
if ($is_expired) { return 403; }
if ($arg_expires = "") { return 403; }
set $expire_time $arg_expires;
set $now_time 0;
# 实际需用 lua 或第三方模块做数值比较；纯原生 Nginx 不支持算术比较
# 所以更可靠的做法是：用 nginx-lua-module 或 openresty 实现
# 如：if tonumber(ngx.var.arg_expires) < ngx.time() then ngx.exit(403) end
}
}二、静态资源缓存时效控制（最常用、原生支持）
这不是“策略过期”，而是让浏览器或 CDN 自动停止复用旧资源，靠响应头驱动：
- 对带哈希名的文件（如
app.abc123.js）设长期缓存：expires 1y;add_header Cache-Control "public, immutable, max-age=31536000"; - 对未版本化的图片或 CSS，设短时效降低更新延迟：
expires 1h;add_header Cache-Control "public, max-age=3600"; - 对 HTML 页面强制不缓存：
expires epoch;add_header Cache-Control "no-cache, must-revalidate";
三、反向代理层的逻辑过期（配合后端）
当访问权限由后端统一鉴权时，Nginx 可通过 proxy_cache 控制响应缓存寿命，间接实现“策略过期”效果：
- 设置
proxy_cache_valid 200 5m;—— 成功响应只缓存 5 分钟 - 配合
proxy_cache_use_stale updating;，允许在后台刷新时返回旧内容 - 若后端返回
Cache-Control: no-store或max-age=0，Nginx 默认不缓存该响应
四、真正需要策略过期？得靠外部协同
Nginx 原生无法主动删除某类请求权限，但可配合：
- 后端生成带 TTL 的 JWT，Nginx 用
auth_request模块校验有效性 - 使用 OpenResty + Redis 存储 token 状态，每次请求查 Redis 判断是否过期
- 通过
proxy_pass转发到权限服务，由其返回 401/403 控制访问
不复杂但容易忽略：所有“过期”行为都依赖客户端遵守响应头，或服务端主动拒绝。Nginx 只负责执行规则，不维护状态、不倒计时、不自动清理策略。
