Nginx配置auth_basic后如何在proxy_pass后端应用获取登录用户

Nginx 完成 auth_basic 身份校验后，会将认证通过的用户名存入内置变量 $remote_user，你只需要在反向代理规则中增加请求头透传配置，把这个值传递给后端服务即可。由于Nginx会先执行auth_basic校验，未通过认证的请求会直接返回401，根本不会转发到后端，因此后端拿到的用户名是完全可信的，不需要重复校验密码。

修改Nginx配置 #

在原有location /配置块中新增proxy_set_header规则，将认证用户名写入自定义请求头（通用惯例使用X-Forwarded-User作为头名，也可根据自身规范调整），修改后的完整配置参考：

server {
    server_name <redacted>;
    client_max_body_size 32m;
    error_page 500 502 503 504 /50x.html;
    location / {
        auth_basic "Authentication";
        auth_basic_user_file /etc/nginx/.htpasswd;
        
        # 透传认证用户名到后端
        proxy_set_header X-Forwarded-User $remote_user;
        # 建议同时透传常用代理头，方便后端获取真实客户端信息
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        
        proxy_pass http://127.0.0.1:7078;
    }

    # ...ssl config
}

注意：proxy_set_header 会直接覆盖客户端传入的同名请求头，不存在客户端伪造X-Forwarded-User头绕过认证的风险。

重载配置生效 #

配置修改完成后，先校验配置语法合法性，再重载Nginx使规则生效：

# 校验配置是否存在语法错误
nginx -t
# 校验通过后重载配置
nginx -s reload

# 若使用systemd管理Nginx服务，也可执行以下命令重载
# systemctl reload nginx

后端读取方式 #

后端服务直接从请求头中读取X-Forwarded-User字段，即可拿到完成认证的登录用户名，不同技术栈的读取参考：

• PHP：读取$_SERVER['HTTP_X_FORWARDED_USER']
• Python（Flask/Django等框架）：读取请求头中的X-Forwarded-User字段
• Node.js（Express/Koa等框架）：读取req.headers['x-forwarded-user']
• Java（SpringBoot等框架）：读取请求头中的X-Forwarded-User字段

内容的提问来源于stack exchange，提问作者w1ke