Nginx对接Apache2实现Kerberos认证的代理跳转方案可行性咨询

这个方案整体思路是合理的，核心是复用已配置好Kerberos认证的Apache能力，避免给Nginx额外编译、配置SPNEGO认证模块，降低改造成本，但现有配置存在几处需要调整的问题：

现有配置的隐患与优化点 #

• 首先你对ProxyPass的作用理解有偏差：现有Apache的配置是把/testlogin的请求反向代理回Nginx的logindone.php，不是跳转。整个请求链路是「用户→Nginx→Apache→Nginx」的嵌套代理，你没有配置身份信息传递逻辑，Nginx侧的业务无法获取到Apache验证通过的Kerberos用户名，等于认证完业务侧还是不知道谁登录了。
  建议在Apache侧配置RequestHeader set X-Remote-User expr=%{REMOTE_USER}，把认证通过的用户名通过请求头透传给后端的logindone.php，同时Nginx侧要限制这个请求头只能由内部Apache的请求携带，禁止外部用户伪造：

  # Nginx全局配置先清空外部传入的X-Remote-User头
  proxy_set_header X-Remote-User "";
  # 仅在/login的代理块允许传递Apache返回的头
  location /login/ {
      # 注意尾部斜杠和proxy_pass的尾部斜杠匹配，避免路径拼接错误
      proxy_pass http://apache2server/testlogin/;
  }
  

• 缺少会话持久化逻辑：现在的配置只能完成单次/login路径的认证，用户访问其他受保护保留区的时候还是会未认证。你需要在logindone.php里给校验通过的用户下发带有效期的会话Cookie，同时在Nginx侧对受保护路径配置auth_request校验会话有效性，会话失效直接跳转到/login路径。
• 路径拼接错误风险：你现在Nginx的location /login/带尾部斜杠，proxy_pass http://apache2server/testlogin不带尾部斜杠，用户请求/login/xxx的时候，实际转发到Apache的路径会变成/testloginxxx而非预期的/testlogin/xxx，容易触发404，建议统一尾部斜杠格式。

优化后可行的完整流程 #

1. 用户访问Nginx受保护路径，Nginx校验会话Cookie失效，跳转到/login
2. Nginx把/login的请求代理到Apache，Apache完成Kerberos认证
3. Apache把用户名通过内部请求头透传给Nginx的logindone.php，logindone.php生成合法会话给用户种Cookie，跳转到用户原本要访问的受保护路径
4. 后续用户访问受保护路径，Nginx校验Cookie有效就放行

内容的提问来源于stack exchange，提问作者luca76