[Nginx] 在Nginx中增加对OAuth协议的支持的教程

• Github/Google Oauth
  
• 我们SeatGeek内部的用户系统
  
• 基本认证
  
• 硬编码登录
  

• 修改响应头
  
• 重写内部请求
  
• 选择性地基于IP拒绝主机访问
  

cd ~
mkdir -p src
cd src

• 找到HOMEBREW_PREFIX目录，通常在/usr/local下，在其中找到nginx.rb文件
  
• 从下列地址取得https://raw.github.com/mxcl/homebrew/master/Library/Formula/nginx.rb
  
• 使用如下命令 brew cat nginx > nginx.rb
  

mv nginx.rb nginx-custom.rb
cat nginx-custom.rb | sed 's/class Nginx/class NginxCustom/' >> tmp
rm nginx-custom.rb
mv tmp nginx-custom.rb

# Collects arguments from ARGV
def collect_modules regex=nil
  ARGV.select { |arg| arg.match(regex) != nil }.collect { |arg| arg.gsub(regex, '') }
end
 
# Get nginx modules that are not compiled in by default specified in ARGV
def nginx_modules; collect_modules(/^--include-module-/); end
# Get nginx modules that are available on github specified in ARGV
def add_from_github; collect_modules(/^--add-github-module=/); end
# Get nginx modules from mdounin's hg repository specified in ARGV
def add_from_mdounin; collect_modules(/^--add-mdounin-module=/); end
# Retrieve a repository from github
def fetch_from_github name
  name, repository = name.split('/')
  raise "You must specify a repository name for github modules" if repository.nil?
  puts "- adding #{repository} from github..."
  `git clone -q git://github.com/#{name}/#{repository} modules/#{name}/#{repository}`
  path = Dir.pwd + '/modules/' + name + '/' + repository
end
# Retrieve a tar of a package from mdounin
def fetch_from_mdounin name
  name, hash = name.split('#')
  raise "You must specify a commit sha for mdounin modules" if hash.nil?
  puts "- adding #{name} from mdounin..."
  `mkdir -p modules/mdounin && cd $_ ; curl -s -O http://mdounin.ru/hg/#{name}/archive/#{hash}.tar.gz; tar -zxf #{hash}.tar.gz`
  path = Dir.pwd + '/modules/mdounin/' + name + '-' + hash
end

nginx_modules.each { |name| args << "--with-#{name}"; puts "- adding #{name} module" }
add_from_github.each { |name| args <<  "--add-module=#{fetch_from_github(name)}" }
add_from_mdounin.each { |name| args <<  "--add-module=#{fetch_from_mdounin(name)}" }

brew install ./nginx-custom.rb \
  --add-github-module=agentzh/chunkin-nginx-module \
  --include-module-http_gzip_static_module \
  --add-mdounin-module=ngx_http_auth_request_module#a29d74804ff1

• 你可以通过 apt-get source PACKAGE_NAME来获取debian安装包。
  
• Debian安装包受控于一个 rules文件，你需要sed-fu来操作它。
  
• 你可以通过编辑 control 文件来更新 deb包的依赖。注意这里指定了一些元依赖(meta-dependency)你不要去删除它，但是这些很容易分辨出来。
  
• 新的发布必须要在changelog里注明，否则包有可能不会被升级因为它可能已经被安装过了。你需要在表单里使用 +tag_name来指明哪些是你自己在baseline上新加的改动。我会额外加上一个数字-从0开始-指示出包的发布编号。
  
• 大多数的改动可以以某种方式自动更改，但是似乎没有一个简单的命令行工具可以创建定制的发布包。这也正是我们感兴趣的地方，如果你知道什么的话，请给我们给我们提供一些链接，工具或方法。
  

# install lua-cjson
if [ ! -d lua-cjson-2.1.0 ]; then
  tar zxf lua-cjson-2.1.0.tar.gz
fi
cd lua-cjson-2.1.0
sed 's/i686/x86_64/' /usr/share/lua/5.1/luarocks/config.lua > /usr/share/lua/5.1/luarocks/config.lua-tmp
rm /usr/share/lua/5.1/luarocks/config.lua
mv /usr/share/lua/5.1/luarocks/config.lua-tmp /usr/share/lua/5.1/luarocks/config.lua
luarocks make

local args = ngx.req.get_uri_args()
if args.error and args.error == "access_denied" then
  ngx.status = ngx.HTTP_UNAUTHORIZED
  ngx.say("{"status": 401, "message": ""..args.error_description..""}")
  return ngx.exit(ngx.HTTP_OK)
end

local access_token = ngx.var.cookie_SGAccessToken
if access_token then
  ngx.header["Set-Cookie"] = "SGAccessToken="..access_token.."; path=/;Max-Age=3000"
end

• 如果没有access_token已经或将要存储，开启OAuth认证
  
• 如果query string的参数中有OAuth访问代码（access code），使用OAuth API检索用户的access_token
  
• 拒绝使用非法访问代码用户的请求
  

-- 第一步，从api获取获取token
if not access_token or args.code then
  if args.code then
    -- internal-oauth:1337/access_token
    local res = ngx.location.capture("/_access_token?client_id="..app_id.."&client_secret="..app_secret.."&code="..args.code)
 
    -- 终止所有非法请求
    if res.status ~= 200 then
      ngx.status = res.status
      ngx.say(res.body)
      ngx.exit(ngx.HTTP_OK)
    end
    -- 解码 token
    local text = res.body
    local json = cjson.decode(text)
    access_token = json.access_token
  end
  -- cookie 和 proxy_pass token 请求失败
  if not access_token then
    -- 跟踪用户访问，用于透明的重定向
    ngx.header["Set-Cookie"] = "SGRedirectBack="..nginx_uri.."; path=/;Max-Age=120"
    -- 重定向到 /oauth , 获取权限
    return ngx.redirect("internal-oauth:1337/oauth?client_id="..app_id.."&scope=all")
  end
end

-- 确保用户有访问web应用的权限
-- internal-oauth:1337/accessible
local res = ngx.location.capture("/_user", {args = { access_token = access_token } } )
if res.status ~= 200 then
  -- 删除损坏的 token
  ngx.header["Set-Cookie"] = "SGAccessToken=deleted; path=/; Expires=Thu, 01-Jan-1970 00:00:01 GMT"
 
  -- 如果 token 损坏 ，重定向 403 forbidden 到 oauth
  if res.status == 403 then
    return ngx.redirect("https://seatgeek.com/oauth?client_id="..app_id.."&scope=all")
  end
  -- 没有权限
  ngx.status = res.status
  ngx.say("{"status": 503, "message": "Error accessing api/me for credentials"}")
  return ngx.exit(ngx.HTTP_OK)
end

local json = cjson.decode(res.body)
-- Ensure we have the minimum for access_level to this resource
if json.access_level < 255 then
  -- Expire their stored token
  ngx.header["Set-Cookie"] = "SGAccessToken=deleted; path=/; Expires=Thu, 01-Jan-1970 00:00:01 GMT"
 
  -- Disallow access
  ngx.status = ngx.HTTP_UNAUTHORIZED
  ngx.say("{"status": 403, "message": "USER_ID"..json.user_id.." has no access to this resource"}")
  return ngx.exit(ngx.HTTP_OK)
end
-- Store the access_token within a cookie
ngx.header["Set-Cookie"] = "SGAccessToken="..access_token.."; path=/;Max-Age=3000"
-- Support redirection back to your request if necessary
local redirect_back = ngx.var.cookie_SGRedirectBack
if redirect_back then
  ngx.header["Set-Cookie"] = "SGRedirectBack=deleted; path=/; Expires=Thu, 01-Jan-1970 00:00:01 GMT"
  return ngx.redirect(redirect_back)
end

-- Set some headers for use within the protected endpoint
ngx.req.set_header("X-USER-ACCESS-LEVEL", json.access_level)
ngx.req.set_header("X-USER-EMAIL", json.email)

# The app we are proxying to
upstream production-app {
  server localhost:8080;
}
 
# The internal oauth provider
upstream internal-oauth {
  server localhost:1337;
}
server {
  listen     80;
  server_name  private.example.com;
  root     /apps;
  charset    utf-8;
  # This will run for everything but subrequests
  access_by_lua_file "/etc/nginx/access.lua";
  # Used in a subrequest
  location /_access_token { proxy_pass http://internal-oauth/oauth/access_token; }
  location /_user { proxy_pass http://internal-oauth/user; }
  location / {
  proxy_set_header  X-Real-IP  $remote_addr;
  proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
  proxy_set_header  Host $http_host;
  proxy_redirect  off;
  proxy_max_temp_file_size 0;
  if (!-f $request_filename) {
    proxy_pass http://production-app;
    break;
  }
  }
}

• 上面的代码是我们access_by_lua脚本的简化。我们也处理保存POST提交的请求，JS加入到到页面更新会话自动处理的令牌更新等，你可能不需要这些功能，而事实上，我不认为我需要它们，直到我们开始了我们在内部系统进行系统测试。
  
• 我们有一些结点，可以通过一定的后台任务基本认证。这些被修改，数据是从一个外部存储中检索，如S3。注意，这并不总是可能的，所以使用的可能不是你想要的答案。
  
• Oauth2只是我选择的标准。在理论上，你可以使用facebook授权来实现类似的结果。你也可以将这种方法限速，或存储在数据库中的不同的访问级别如在你的Lua脚本方便操作和检索使用。如果你真的很无聊，你可以重新实现基本认证在Lua，这只需要你。
  
• 有没有测试控制系统等。测试者会害怕当他们意识到这将是一段时间的集成测试。你可以重新运行上面的嘲笑为全球范围内注入变量以及执行脚本，但它不是理想的设置。
  
• 你还需要修改应用程序识别你的新的访问标头。内部工具将是最简单的，但你可能需要为供应商软件作出一定的让步。