Nginx反向代理中基于URL匹配的ACL配置

在Nginx中实现基于URL路径的访问控制(ACL)是反向代理配置中的常见需求。以下是几种实现URL匹配ACL的方法：

1. 使用location指令进行基本URL匹配

server {
    listen 80;
    server_name example.com;

    # 允许访问的路径
    location /public/ {
        proxy_pass http://backend_server;
    }

    # 禁止访问的路径
    location /private/ {
        return 403;
    }
}

2. 使用正则表达式进行复杂匹配

server {
    listen 80;
    server_name example.com;

    # 允许特定模式的URL
    location ~ ^/api/v[1-3]/ {
        proxy_pass http://backend_server;
    }

    # 禁止包含敏感词的URL
    location ~* /(admin|config)/ {
        return 403;
    }
}

3. 结合map指令实现动态ACL

map $uri $is_allowed {
    default         0;
    ~^/public/      1;
    ~^/api/v[1-3]/  1;
}

server {
    listen 80;
    server_name example.com;

    if ($is_allowed = 0) {
        return 403;
    }

    location / {
        proxy_pass http://backend_server;
    }
}

4. 基于HTTP方法的URL ACL

server {
    listen 80;
    server_name example.com;

    location /write/ {
        limit_except GET {
            deny all;
        }
        proxy_pass http://backend_server;
    }
}

5. 结合geo和map实现IP+URL的复合ACL

geo $block_url {
    default         0;
    192.168.1.100  1;  # 这个IP可以访问受限URL
}

map $uri $restricted {
    default         0;
    ~^/admin/       1;
}

server {
    listen 80;
    server_name example.com;

    location / {
        if ($restricted = 1) {
            set $block_url 1;
        }

        if ($block_url = 0) {
            return 403;
        }

        proxy_pass http://backend_server;
    }
}

最佳实践建议

1. 性能考虑：正则表达式匹配会带来性能开销，应尽量使用前缀匹配
2. 安全性：敏感路径应明确拒绝访问，避免使用过于宽泛的允许规则
3. 可维护性：复杂的ACL规则建议拆分为单独的文件并通过include引入
4. 测试验证：使用nginx -t测试配置，并实际验证ACL效果
5. 日志记录：为拒绝的访问添加日志记录便于审计

# 示例：记录被拒绝的访问
log_format acl_denied '$remote_addr - $remote_user [$time_local] '
                      '"$request" $status $body_bytes_sent '
                      '"$http_referer" "$http_user_agent" $request_uri';

server {
    # ...其他配置...

    location /private/ {
        access_log /var/log/nginx/acl_denied.log acl_denied;
        return 403;
    }
}

通过合理配置这些URL匹配规则，可以构建灵活且安全的Nginx反向代理ACL系统。