基于NGINX OSS的微服务gRPC请求认证问题求助

问题根源分析 #

你的问题核心有两点：

1. HTTP/2（gRPC）的Server配置完全未启用认证触发逻辑，导致认证流程根本没执行
2. 即便给gRPC接口的location添加auth_request，NGINX默认会用GET方法发起认证请求，但gRPC接口要求POST，这就是错误日志里405（方法不允许）的直接原因

解决方案（基于NGINX OSS） #

方案1：修改认证服务兼容GET请求（最简单，若可修改认证服务）

如果你的认证gRPC服务能额外支持GET方法处理JWT验证，直接调整HTTP/2 Server配置：

server {
    listen 8001 http2;
    server_name example.server;

    // 其他配置

    # 内部认证端点（适配GET请求）
    location /auth {
        internal;
        grpc_pass grpc://authentication_http2;
        grpc_set_header Authorization $http_authorization;
        grpc_set_header X-Original-URI $request_uri;
        error_page 401 = /auth_error;
    }

    location /package.Service {
        # 启用认证请求
        auth_request /auth;
        auth_request_set $auth_status $upstream_status;
        if ($auth_status = 200) {
            grpc_pass grpc://microservice1;
        }
        error_page 401 = /auth_error;
    }

    location /auth_error {
        return 401 "Authentication Error";
    }
}

方案2：用Lua脚本实现自定义POST认证（无需修改认证服务）

若无法修改认证服务，可借助ngx_http_lua_module（NGINX OSS可通过编译或OpenResty集成）手动发起POST请求到认证服务：

server {
    listen 8001 http2;
    server_name example.server;

    // 其他配置

    # 内部Lua认证逻辑
    location /grpc_auth_lua {
        internal;
        content_by_lua_block {
            local auth_header = ngx.var.http_authorization
            if not auth_header then
                ngx.status = 401
                ngx.say("Missing Authorization header")
                return
            end

            -- 发起POST请求到认证gRPC服务
            local httpc = require("resty.http").new()
            local res, err = httpc:request_uri("http://authentication_http2/authentication.AuthenticationService/AuthenticateWithJWT", {
                method = "POST",
                headers = {
                    ["Authorization"] = auth_header,
                    ["Content-Type"] = "application/grpc"
                },
                body = "" -- 若认证服务需要请求体，按需补充
            })

            if not res then
                ngx.status = 500
                ngx.say("Auth service error: " .. err)
                return
            end

            if res.status ~= 200 then
                ngx.status = 401
                ngx.say("Authentication failed")
                return
            end

            ngx.status = 200
        }
    }

    location /package.Service {
        auth_request /grpc_auth_lua;
        grpc_pass grpc://microservice1;
        error_page 401 = /auth_error;
    }

    location /auth_error {
        return 401 "Authentication Error";
    }
}

方案3：内部重定向+变量控制（无需额外模块）

若不想用Lua，可通过内部重定向触发认证，再根据结果转发请求：

server {
    listen 8001 http2;
    server_name example.server;

    // 其他配置

    # 认证端点（处理POST请求）
    location /authentication.AuthenticationService/AuthenticateWithJWT {
        internal;
        grpc_pass grpc://authentication_http2;
        grpc_set_header Authorization $http_authorization;
        error_page 401 = /auth_error;
    }

    location /package.Service {
        # 先触发认证
        rewrite_by_lua_block {
            local auth_header = ngx.var.http_authorization
            if not auth_header then
                ngx.exec("/auth_error")
            end
        }
        auth_request /authentication.AuthenticationService/AuthenticateWithJWT;
        grpc_pass grpc://microservice1;
    }

    location /auth_error {
        return 401 "Authentication Error";
    }
}

额外注意事项 #

• gRPC请求的Content-Type固定为application/grpc，认证时需确保该头信息正确传递
• 所有内部认证端点必须添加internal指令，禁止外部直接访问
• 测试前单独调用认证gRPC接口，确认POST方法带Authorization头能返回200

内容的提问来源于stack exchange，提问作者ABHINAV RANA