Nginx + Shiny Server如何设置认证仅允许合法请求访问？

Nginx层实现认证是更优方案，原因如下： #

• 无需修改R Shiny应用的内部代码，适配所有已部署的Shiny应用，改造成本极低
• Nginx性能远高于应用层做认证，高并发下不会影响Shiny服务的响应速度
• 可以统一管控所有Shiny应用的访问权限，配置一次全量生效
• 天然适配你当前的Docker部署架构，只需要调整Nginx容器配置即可，不需要重构现有部署逻辑

具体配置步骤 #

1. 先关闭Shiny的公网暴露 #

调整Docker配置，Shiny容器不要配置端口的公网映射，仅和Nginx容器加入同一个Docker内部网络，确保只有Nginx容器可以通过内网地址访问Shiny的3838端口，从根源上避免Shiny服务直接对外暴露。

2. Nginx认证配置（两种可选方案） #

方案1：Header携带Token校验（适用于可以自定义请求头的调用场景）

配置示例：

http {
    # 配置合法Token，也可集成nginx-jwt模块实现JWT动态校验，无需提前枚举Token
    map $http_authorization $valid_token {
        default 0;
        "Bearer 自定义合法Token值1" 1;
        "Bearer 自定义合法Token值2" 1;
    }

    server {
        listen 443 ssl;
        server_name shiny.domain.com;
        # 此处省略你的SSL证书相关配置

        # 适配iframe嵌入的跨域配置，替换为你自己的Vue前端域名
        add_header Access-Control-Allow-Origin "https://你的Vue项目域名";
        add_header Access-Control-Allow-Headers "Authorization";
        add_header X-Frame-Options "ALLOW-FROM https://你的Vue项目域名";
        add_header Content-Security-Policy "frame-ancestors 'self' https://你的Vue项目域名";

        location ~ ^/app(.*)$ {
            # 无有效Token直接返回403
            if ($valid_token = 0) {
                return 403;
            }
            # 反向代理到内网Shiny容器，替换为你Shiny容器的内网地址
            proxy_pass http://shiny容器内网IP:3838/app$1$is_args$args;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
        }
    }
}

方案2：URL参数携带Token校验（适用于iframe嵌入无法自定义请求头的场景）

配置示例：

http {
    map $arg_access_token $valid_token {
        default 0;
        "自定义合法Token值1" 1;
        "自定义合法Token值2" 1;
    }

    server {
        listen 443 ssl;
        server_name shiny.domain.com;
        # 此处省略SSL证书配置

        # 跨域配置同方案1
        add_header Access-Control-Allow-Origin "https://你的Vue项目域名";
        add_header X-Frame-Options "ALLOW-FROM https://你的Vue项目域名";
        add_header Content-Security-Policy "frame-ancestors 'self' https://你的Vue项目域名";

        location ~ ^/app(.*)$ {
            if ($valid_token = 0) {
                return 403;
            }
            # 清理请求中的access_token参数，避免传递给Shiny应用
            if ($args ~ (.*)&access_token=[^&]*(.*)) {
                set $args $1$2;
            }
            proxy_pass http://shiny容器内网IP:3838/app$1$is_args$args;
            proxy_set_header Host $host;
        }
    }
}

3. Vue项目嵌入适配 #

• 选方案1的话，调用Shiny地址时请求头携带Authorization: Bearer 合法Token即可
• 选方案2的话，直接将Token拼在iframe的src参数中即可：

<iframe src="https://shiny.domain.com/app1?access_token=自定义合法Token值1"></iframe>

安全性优化建议 #

• 生产环境推荐使用JWT方案替代固定Token，可设置Token有效期，泄露后不会造成长期风险
• 定期更换校验用的Token，避免硬编码到前端代码中，建议由后端服务动态生成下发Token
• 可以额外增加IP白名单配置，仅允许可信业务服务器的IP访问Shiny相关地址

内容的提问来源于stack exchange，提问作者paulogil2010