gRPC双向流请求验证及NGINX日志记录问题咨询

一、流内请求的验证逻辑与确认方式 #

是否需要对流内每个请求单独验证？ #

这取决于你的业务安全需求：

• 常规场景无需重复验证：gRPC基于HTTP/2，双向流建立时会完成初始的HTTP/2握手和元数据交换。如果你的认证是连接级的（比如客户端证书、握手阶段携带的JWT token），且流生命周期内信任关系不会变更，那么初始验证通过后，整个流内的所有请求都可以基于该信任，不需要重复验证。
• 特殊场景必须逐请求验证：如果业务要求每个流内请求都携带独立凭证（比如每次请求都更新的临时token），或者流的生命周期极长（如数小时）需要定期重新校验身份，这时必须对流内每个请求单独做验证。

如何确认每个流内请求已被验证？ #

• 服务端直接日志记录：在gRPC服务端的请求处理逻辑中，每次接收流内请求时，打印验证结果（如凭证有效性、用户身份信息），直接从服务端日志确认验证状态。
• NGINX传递验证元数据：如果用NGINX做前置认证，可通过grpc_set_header将验证后的标识（如X-User-ID、X-Auth-Status）传递给上游服务，服务端接收后将这些信息写入日志，或者在调试阶段通过响应元数据返回验证结果。
• NGINX逐请求认证配置：默认NGINX的auth_request仅在流建立时触发一次。若要实现逐请求认证，需借助ngx_lua模块编写Lua脚本，在每个gRPC请求的处理阶段插入认证逻辑，认证不通过直接拦截请求。

二、NGINX记录流内每个请求的配置方法 #

NGINX默认access.log仅记录gRPC流的建立与结束事件，要捕获流内每个请求，需启用专门的gRPC日志并自定义格式（要求NGINX 1.19.0及以上版本）：

1. 定义细粒度的gRPC日志格式 #

在http块中添加自定义日志格式，包含gRPC方法、消息内容、请求ID等关键信息：

log_format grpc_stream_detail '$remote_addr - $remote_user [$time_local] '
                              '"$grpc_method" "$grpc_message" '
                              '$status $grpc_status $body_bytes_sent '
                              '"$http_x_request_id"';

• $grpc_method：记录当前请求的gRPC方法名
• $grpc_message：捕获流内每个gRPC消息的内容（调试时可用，生产环境若消息敏感可忽略）
• $http_x_request_id：如果客户端请求携带自定义请求ID元数据，可通过该变量记录，方便追踪单个请求

2. 启用gRPC专属访问日志 #

在对应的location块中配置grpc_access_log，指定使用上面定义的格式：

server {
    listen 443 ssl http2;
    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key /path/to/cert.key;

    location /your.grpc.ServiceName {
        grpc_pass grpc://your_upstream_grpc_server;
        # 启用细粒度gRPC日志
        grpc_access_log /var/log/nginx/grpc_stream_access.log grpc_stream_detail;
    }
}

3. 注意事项 #

• 流内请求较多时，细粒度日志会大幅增加日志量，建议配合logrotate工具设置日志轮转策略，避免磁盘空间耗尽。
• 如果不需要记录完整消息内容，可移除$grpc_message字段，仅保留方法名、状态码等关键信息。

内容的提问来源于stack exchange，提问作者WeiAnHsieh