http-proxy-middleware动态配置auth参数实现ngrok隧道鉴权失败求助

报错原因 #

http-proxy-middleware 的 auth 配置项仅支持传入静态字符串，不支持函数类型，你传入自定义函数会触发类型不匹配错误。

可行解决方案 #

你不需要依赖内置的 auth 配置，通过 onProxyReq 钩子手动构造 Basic Auth 请求头即可实现动态鉴权的需求，配合异步 router 就能实现从 Redis 动态拉取鉴权参数的效果。
正确配置示例如下：

var optionsLogin = {
    logLevel: 'debug',
    changeOrigin: true,
    target: 'not reachable',
    router: async function (proxyRequest, path, req) {
        const endpoint = proxyRequest.headers.endpoint;
        const endpointUpper = endpoint.toUpperCase();
        // 提前在异步router中查询域名和密码，挂载到req对象避免重复查库
        req._proxyAuthInfo = {
            domain: await redis.getValue(endpointUpper),
            password: await redis.getValue(endpointUpper + '_pwd')
        };
        return 'https://' + req._proxyAuthInfo.domain;
    },
    onProxyReq: (proxyReq, req, res) => {
        // 手动构造Basic Auth请求头
        const authRaw = `${proxyReq.headers.endpoint}:${req._proxyAuthInfo.password}`;
        const authBase64 = Buffer.from(authRaw).toString('base64');
        proxyReq.setHeader('Authorization', `Basic ${authBase64}`);
    }
};

注意事项 #

• 请求头中的endpoint参数要做合法性校验，避免恶意请求触发异常或者未授权访问。
• 可以补充 Redis 查询失败的兜底逻辑，避免无返回值导致的后续报错。
• 这种实现方式不会把鉴权参数暴露到代理目标URL或者日志中，安全性比把密码拼到URL里的方案高很多。

内容的提问来源于stack exchange，提问作者justabithope