Nginx auth_request报upstream timedout问题排查求助

核心问题：Nginx通过auth_request触发的子请求超时，但直接访问同一路径（/auth2）或在容器内外curl auth URL均正常，说明auth子请求的执行逻辑和直接访问存在差异。以下是具体排查方向和解决办法：

1. 检查auth子请求的请求方法与请求体传递 #

auth_request默认以GET方法发起子请求，而你的原请求是POST /api/asset/request-upload。如果auth接口要求接收POST请求或需要原请求的body，会导致接口无响应最终超时。

调整配置： #

修改/auth的location，强制使用POST方法并传递请求体：

location = /auth {
    internal;
    # 强制子请求使用POST方法
    auth_request_method POST;
    # 传递原请求的body
    proxy_pass_request_body on;
    # 传递原请求的Content-Type头
    proxy_set_header Content-Type $content_type;
    # 保留原请求的Host头（若auth接口需要）
    proxy_set_header Host $http_host;
    proxy_pass here_goes_auth_url;
}

2. 调整auth子请求的超时参数 #

Nginx默认代理超时时间可能过短，若auth接口响应较慢会触发超时。可针对全局或/auth子请求单独设置：

全局配置（http块内添加）： #

http {
    # ... 其他原有配置 ...
    proxy_connect_timeout 30s;  # 上游连接超时
    proxy_send_timeout 30s;     # 请求发送超时
    proxy_read_timeout 30s;     # 响应读取超时
}

单独针对/auth配置： #

location = /auth {
    internal;
    proxy_connect_timeout 30s;
    proxy_send_timeout 30s;
    proxy_read_timeout 30s;
    proxy_pass here_goes_auth_url;
}

3. 检查auth子请求的域名解析与SSL配置 #

报错显示上游为https://xx.xxx.xx.xx:443/auth，若auth URL原本是域名，Nginx解析逻辑可能与容器内curl不同：

排查方案： #

• 直接在proxy_pass中使用域名而非IP，例如proxy_pass https://your-auth-domain.com;
• 若域名解析异常，在http块内添加DNS resolver：

  http {
      resolver 8.8.8.8;  # 使用谷歌公共DNS
      # ... 其他配置 ...
  }
  

• 若auth接口用自签名证书，临时禁用证书验证（仅测试用）：

  location = /auth {
      internal;
      proxy_ssl_verify off;
      proxy_pass here_goes_auth_url;
  }
  

4. 开启debug日志查看子请求细节 #

将Nginx的error日志级别调为debug，可查看auth子请求的完整执行过程，包括请求头、响应状态等关键信息：

修改配置： #

error_log /dev/stdout debug;

重启容器后重新发起请求，查看日志中subrequest: "/auth"的详细输出，定位具体失败原因。

5. 验证auth子请求的基础逻辑 #

临时将auth URL替换为本地简单服务，测试auth_request是否能正常触发子请求：

1. 在Docker容器内启动简单HTTP服务：

   docker exec -it docker-nginx bash
   apt update && apt install -y python3
   python3 -m http.server 9000 &
   

2. 修改nginx.conf中的proxy_pass为http://localhost:9000
3. 重启Nginx后发起请求，查看本地服务是否收到子请求。若能收到，问题出在auth接口适配逻辑；若仍超时，说明Nginx的auth_request模块存在配置问题。

内容的提问来源于stack exchange，提问作者AFMeirelles