GitLab CE本地部署：如何屏蔽/.well-known/openid-configuration暴露？

以下是几种可行的实现方式，可根据你的部署环境选择：

1. 通过反向代理拦截（推荐，不影响GitLab核心功能） #

如果你的GitLab前端使用Nginx或Apache作为反向代理，可直接在代理配置中添加拦截规则：

Nginx配置 #

修改GitLab对应的Nginx站点配置文件（通常路径为/etc/nginx/sites-available/gitlab），在server块内添加：

location = /.well-known/openid-configuration {
    return 404; # 或根据安全要求返回403 Forbidden
}

添加后重启Nginx服务生效：

sudo systemctl restart nginx

Apache配置 #

在GitLab对应的VirtualHost配置中添加：

RedirectMatch 404 ^/.well-known/openid-configuration$
# 若需返回403，替换为：RedirectMatch 403 ^/.well-known/openid-configuration$

重启Apache服务生效：

sudo systemctl restart apache2

2. 禁用GitLab的OpenID Connect服务 #

如果你的GitLab不需要提供OpenID Connect身份服务，可直接修改GitLab配置关闭该功能：

1. 编辑GitLab主配置文件/etc/gitlab/gitlab.rb，添加或修改以下配置：

# 禁用OpenID Connect提供商功能
gitlab_rails['openid_connect_provider_enabled'] = false
# 若不需要任何OmniAuth登录方式，可额外添加：gitlab_rails['omniauth_enabled'] = false

2. 执行配置重载使修改生效：

sudo gitlab-ctl reconfigure

验证效果 #

修改完成后，访问http://你的GitLab地址/.well-known/openid-configuration，确认返回404/403状态码，说明屏蔽成功。

内容的提问来源于stack exchange，提问作者leo277