使用GitHub OAuth2 Proxy保护Nginx遇访问问题求助

一、先排查4180端口无法访问的核心原因 #

• 检查docker-compose.yaml里oauth2-proxy的端口映射，确保4180:4180已正确配置
• 查看oauth2-proxy容器日志：执行docker logs <oauth2-proxy容器名>，排查是否有启动报错（比如配置参数错误、GitHub OAuth密钥不匹配）
• 确认主机防火墙/安全组未拦截4180端口

二、完整实现GitHub认证+Nginx访问控制 #

1. 先在GitHub创建OAuth应用 #

• 登录GitHub后，进入「Settings > Developer settings > OAuth Apps > New OAuth App」
• 填写关键信息：
  • Application name：自定义名称（比如OAuth2 Proxy Demo）
  • Homepage URL：http://localhost
  • Authorization callback URL：http://localhost:4180/oauth2/callback
• 创建完成后，复制生成的Client ID和Client Secret，后续配置要用

2. docker-compose.yaml 完整配置 #

version: '3.8'

services:
  oauth2-proxy:
    image: quay.io/oauth2-proxy/oauth2-proxy:latest
    container_name: oauth2-proxy
    ports:
      - "4180:4180"
    environment:
      - OAUTH2_PROXY_CLIENT_ID=你的GitHub Client ID
      - OAUTH2_PROXY_CLIENT_SECRET=你的GitHub Client Secret
      - OAUTH2_PROXY_COOKIE_SECRET=用`openssl rand -hex 16`生成的随机字符串
      - OAUTH2_PROXY_PROVIDER=github
      - OAUTH2_PROXY_REDIRECT_URL=http://localhost:4180/oauth2/callback
      - OAUTH2_PROXY_UPSTREAMS=http://nginx:80
      - OAUTH2_PROXY_HTTP_ADDRESS=0.0.0.0:4180
      - OAUTH2_PROXY_COOKIE_SECURE=false # 本地HTTP测试必须设为false，生产HTTPS环境改为true
      - OAUTH2_PROXY_EMAIL_DOMAINS=* # 允许所有GitHub用户，可指定特定域名如yourcompany.com
      - OAUTH2_PROXY_SKIP_PROVIDER_BUTTON=true # 直接跳转到GitHub认证，不显示选择页
    depends_on:
      - nginx

  nginx:
    image: nginx:alpine
    container_name: protected-nginx
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
    expose:
      - "80"

3. Nginx 配置文件（同目录下创建nginx.conf） #

events {}

http {
  server {
    listen 80;
    server_name localhost;

    location / {
      root /usr/share/nginx/html;
      index index.html;
    }
  }
}

4. 启动与验证步骤 #

• 生成Cookie Secret：执行openssl rand -hex 16，把结果填入docker-compose的OAUTH2_PROXY_COOKIE_SECRET
• 启动容器：docker-compose up -d
• 访问http://localhost:4180，会自动跳转到GitHub登录页面
• 登录成功后，会自动重定向到Nginx主页，说明认证流程生效

三、关键配置说明 #

• OAUTH2_PROXY_UPSTREAMS：指定oauth2-proxy要保护的后端服务（这里是Nginx容器的内部地址http://nginx:80）
• OAUTH2_PROXY_COOKIE_SECURE=false：本地用HTTP访问必须关闭，否则Cookie无法正常生效
• 禁止直接访问Nginx端口：如果要彻底限制未认证用户访问Nginx，不要映射Nginx的80端口到主机，仅通过oauth2-proxy的4180端口访问

四、仍无法访问4180的进阶排查 #

• 检查容器状态：docker-compose ps，确认oauth2-proxy容器处于Up状态
• 查看容器日志：docker logs oauth2-proxy，如果出现error validating provider类错误，检查GitHub的Client ID和Secret是否正确
• 检查端口占用：netstat -tulpn | grep 4180，确认主机4180端口未被其他程序占用

内容的提问来源于stack exchange，提问作者Ahmed Zedan