Docker部署Jupyter内核冻结，日志大量生成token认证用户问题排查

问题背景 #

通过Docker部署Jupyter Server后，网页可正常访问，但采用Nginx基础认证时，运行任何内核都会冻结，且日志中重复出现以下消息：

[I 2023-03-24 05:12:15.820 ServerApp] Generating new user for token-authenticated request: 9da819445a07428ba5b07d4361b37592

相关配置文件如下：

Dockerfile #

FROM jupyter/scipy-notebook

ARG NB_USER

USER root
RUN apt-get update
COPY apt-requirements.txt .
RUN apt-get update
RUN apt-get install -y $(grep -hvE "^s*#" apt-requirements.txt | sort -u | tr '\n' ' ')

COPY requirements.txt .
RUN pip install --upgrade pip
RUN pip install -r requirements.txt
USER ${NB_USER}

.env配置 #

NB_USER=lab
CHOWN_HOME=yes
CHOWN_HOME_OPTS="-R"
RESTARTABLE=yes
LOCAL_WORKING_DIR=/home/lab
ACCESS_TOKEN=''
ACCESS_PASSWORD=''

问题分析与解决 #

日志含义 #

这条日志表明Jupyter Server无法识别已通过Nginx认证的用户身份，每次收到请求时都会生成临时token并创建新的用户会话，没有复用稳定的用户上下文。

与内核冻结的关联 #

该日志本身不会直接引发内核冻结，但它暴露的身份验证传递失效是内核启动卡住的核心原因。Jupyter内核需要与Server端的稳定用户会话绑定才能正常启动，频繁创建临时用户会导致内核无法建立有效关联，最终启动流程冻结。

修复步骤 #

• 配置Nginx传递认证用户
  在Nginx的location代理配置中添加请求头，将认证后的用户名传递给Jupyter：

  proxy_set_header X-Remote-User $remote_user;
  

  同时修改Jupyter的启动参数，启用远程用户头验证：

  jupyter server --RemoteUserHeader='X-Remote-User'
  

• 关闭Jupyter自身的token认证
  由于已通过Nginx做身份验证，无需保留Jupyter的token机制，在.env中补充或修改：

  JUPYTER_SERVER_ARGS="--ServerApp.token=''"
  

  或者直接在启动命令中加入该参数。

• 确认用户权限一致性
  确保Nginx传递的用户名与Dockerfile中定义的NB_USER（即lab）一致，避免内核启动时因权限不匹配出现文件访问错误。

内容的提问来源于stack exchange，提问作者senior_pimiento