nginx+oauth2-proxy+docker下Bearer Token认证报错排查

报错unable to verify bearer token, not implemented由四处配置错误共同导致：

• 配置逻辑冲突：你设置了OAUTH2_PROXY_SKIP_JWT_BEARER_TOKENS=true，该参数的逻辑是检测到Authorization头携带JWT格式令牌时，跳过oauth2-proxy原生的会话cookie校验流程，但你没有开启配套的JWT令牌校验能力，导致oauth2-proxy拿到GCP ID令牌时没有对应处理逻辑，直接抛出未实现错误。
• 核心功能开关被注释：你注释掉了OAUTH2_PROXY_SET_AUTHORIZATION_HEADER=true和OAUTH2_PROXY_SET_XAUTHREQUEST=true两个参数，oauth2-proxy默认不会解析请求头里的Authorization字段，也不会把认证结果透传给上游服务。
• JWT校验规则配置错误：你填写的OAUTH2_EXTRA_JWT_ISSUERS为自定义占位值，Google官方OIDC令牌的颁发者固定为https://accounts.google.com，配置不匹配的情况下就算开启校验也无法通过令牌合法性验证；同时你没有配置JWT受众（audience）校验规则，而gcloud auth print-identity-token默认生成的令牌受众是gcloud CLI本身，和你的OAuth客户端ID不匹配。
• Nginx配置漏项：/oauth2/auth鉴权端点的配置没有透传客户端传入的Authorization头，oauth2-proxy根本无法收到你通过curl传递的Bearer令牌。

1. 修正oauth2-proxy环境变量配置 #

调整docker-compose.yaml中oauth2_proxy服务的environment配置段如下：

oauth2_proxy:
    build: ./oauth2_proxy
    container_name: oauth2_proxy
    environment:
      - OAUTH2_PROXY_HTTP_ADDRESS=http://0.0.0.0:4180
      - OAUTH2_PROXY_UPSTREAM=http://localhost
      - OAUTH2_PROXY_AUTHENTICATED_EMAILS_FILE=/home/emails.txt
      - OAUTH2_PROXY_REDIRECT_URL=http://localhost/oauth2/callback
      - OAUTH2_PROXY_COOKIE_SECRET=替换为你实际生成的cookie密钥
      - OAUTH2_PROXY_COOKIE_SECURE=false
      - OAUTH2_PROXY_COOKIE_REFRESH=2h
      - OAUTH2_PROXY_PASS_ACCESS_TOKEN=true
      # 取消注释，开启Authorization头解析和认证信息透传
      - OAUTH2_PROXY_SET_AUTHORIZATION_HEADER=true
      - OAUTH2_PROXY_SET_XAUTHREQUEST=true
      - OAUTH2_PROXY_PROVIDER=google
      # 关闭错误开启的跳过JWT校验配置
      - OAUTH2_PROXY_SKIP_JWT_BEARER_TOKENS=false
      # 正确配置Google JWT颁发者，不要使用自定义占位值
      - OAUTH2_PROXY_EXTRA_JWT_ISSUERS=https://accounts.google.com
      # 新增JWT受众校验，值填你自己的Google OAuth客户端ID
      - OAUTH2_PROXY_JWT_AUDIENCES=替换为你的Google OAuth客户端ID
      - OAUTH2_PROXY_CLIENT_ID=替换为你的Google OAuth客户端ID
      - OAUTH2_PROXY_CLIENT_SECRET=替换为你的Google OAuth客户端密钥
    networks:
      - frontend

注意：生成GCP ID令牌时必须指定audience和上面配置的客户端ID一致，否则令牌aud字段不匹配会被校验拦截。

2. 补全Nginx配置 #

在default.conf的location = /oauth2/auth配置块中新增Authorization头透传规则，修改后该段配置如下：

location = /oauth2/auth {
        proxy_pass       http://oauth2_proxy:4180;
        proxy_set_header Host             $host;
        proxy_set_header X-Real-IP        $remote_addr;
        proxy_set_header X-Scheme         $scheme;
        # 新增该行，将客户端传入的Authorization头透传给oauth2-proxy
        proxy_set_header Authorization    $http_authorization;
        proxy_set_header Content-Length   "";
        proxy_pass_request_body           off;
    }

3. 重启服务并验证 #

执行docker-compose up -d重建并重启所有服务，使用修正后的curl命令测试API访问：

curl -X GET http://localhost/api/2.0/mlflow/experiments/list -H "Authorization: Bearer $(gcloud auth print-identity-token --audiences=替换为你的Google OAuth客户端ID)"

Python脚本调用MLflow时，只需要在请求中携带对应ID令牌即可，示例代码：

import os
import mlflow
from google.auth.transport.requests import Request
from google.oauth2 import id_token

# 生成符合audience要求的ID令牌
token = id_token.fetch_id_token(Request(), "替换为你的Google OAuth客户端ID")
# 为MLflow客户端配置认证令牌
os.environ["MLFLOW_TRACKING_TOKEN"] = token
mlflow.set_tracking_uri("http://localhost")
# 测试接口调用
print(mlflow.search_experiments())

内容的提问来源于stack exchange，提问作者Jorge Nachtigall