使用NGINX完成Kerberos认证成功后如何获取已认证用户名

你日志里看到的认证用户名实际存在于Nginx的内置变量$remote_user中，不需要读取日志，直接调用该变量即可实现需求，具体方案如下：

方案1：通过请求头传递给上层应用（反向代理场景首选） #

如果你的上层应用是Nginx代理的后端服务，直接在location块中新增自定义请求头传递变量即可，后端读取该请求头就能拿到当前用户身份，天然支持多用户隔离，每个请求的变量独立不会串数据。

• 配置示例（在你原有/test路径的Kerberos配置基础上新增）：

location /test {
    # 这里保留你原来的Kerberos认证配置
    auth_gss on;
    auth_gss_realm YOUR.REALM.COM;
    auth_gss_keytab /path/to/your/service.keytab;
    auth_gss_service_name HTTP/your.server.domain;
    
    # 新增头传递配置
    proxy_set_header X-Forwarded-User $remote_user;
    # 可选：清空外部传入的同名头，防止恶意用户伪造身份
    proxy_set_header X-Forwarded-User "";
    proxy_pass http://你的上层应用地址;
}

方案2：直接在Nginx返回的页面中嵌入用户名 #

如果不需要后端服务，直接由Nginx返回静态页面，可以直接拼接变量到返回内容中：

• 配置示例：

location /test {
    # 保留原有Kerberos认证配置
    auth_gss on;
    auth_gss_realm YOUR.REALM.COM;
    auth_gss_keytab /path/to/your/service.keytab;
    auth_gss_service_name HTTP/your.server.domain;
    
    default_type text/html;
    return 200 '<!DOCTYPE html>
<html>
<body>
<h1>认证成功</h1>
<p>欢迎你，$remote_user</p>
<p>这是你的专属页面内容</p>
</body>
</html>';
}

如果是复杂静态页面，也可以开启Nginx的SSI模块，在HTML文件中插入<!--#echo var="remote_user" -->即可动态渲染用户名。

方案3：将用户名写入Cookie返回 #

如果需要前端存储用户名后续使用，直接在响应头添加Set-Cookie即可：

• 配置示例：

location /test {
    # 保留原有Kerberos认证配置
    auth_gss on;
    auth_gss_realm YOUR.REALM.COM;
    auth_gss_keytab /path/to/your/service.keytab;
    auth_gss_service_name HTTP/your.server.domain;
    
    # 写入Cookie，HttpOnly、Secure等属性可根据你的安全需求调整
    add_header Set-Cookie "kerberos_auth_user=$remote_user; Path=/; HttpOnly; Secure";
    # 后续可继续配置proxy_pass到上层应用或者直接返回内容
}

• 所有用户身份必须取Nginx认证后生成的$remote_user值，不要信任客户端传入的用户名，避免身份伪造
• 如果你使用的是其他Kerberos认证模块，少数模块会用自定义变量存储用户名，例如$auth_gss_user，可对应调整变量名即可
• 该方案天然支持多用户并发访问，每个请求的$remote_user都是独立的，不会出现用户身份串用的问题

内容的提问来源于stack exchange，提问作者Dan Levine