Nginx配置：跨域重写CSV下载的身份认证异常问题

这个问题我之前排查过好几次，核心原因出在你用的permanent重定向上——这是客户端侧的跳转，浏览器收到Nginx返回的301响应后，会直接跳过当前域名的认证流程，去请求新域名的文件，所以才会出现访问CSV时不弹验证窗口的情况。

要解决这个问题，我们需要把客户端跳转改成Nginx代理转发，让请求全程经过Nginx：先完成身份验证，再由Nginx去目标域名拉取文件返回给用户。下面给你两种可行的配置方案：

方案一：用if指令匹配CSV请求（快速修改） #

location ^~ /foo { 
    auth_basic "AUTH"; 
    auth_basic_user_file /etc/nginx/auth/foo; 

    # 匹配CSV格式的请求，转发到目标地址
    if ($request_uri ~* ^\/foo\/(.*\.csv)$) {
        proxy_pass https://newdomain.com/downloads/$1;
        # 设置必要的代理请求头，让后端服务器正确识别请求
        proxy_set_header Host newdomain.com;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        # 关闭自动重定向，避免Nginx修改后端返回的重定向地址
        proxy_redirect off;
    }
}

方案二：子location拆分（更符合Nginx规范，推荐生产环境用） #

Nginx的if指令有一些潜在的坑，拆成子location的写法更稳定可靠：

location ^~ /foo { 
    auth_basic "AUTH"; 
    auth_basic_user_file /etc/nginx/auth/foo; 

    # 专门匹配foo路径下的CSV文件
    location ~* \.csv$ {
        # 先重写路径，去掉foo前缀，再转发到目标域名
        rewrite ^\/foo\/(.*\.csv)$ /downloads/$1 break;
        proxy_pass https://newdomain.com;
        
        proxy_set_header Host newdomain.com;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_redirect off;
    }
}

关键原理说明 #

• 用proxy_pass代替rewrite permanent：请求不会跳转到新域名，而是由Nginx作为中间代理，用户先和Nginx完成身份验证，验证通过后Nginx才会去拉取目标文件并返回给用户，全程浏览器只和原域名交互。
• 代理请求头的设置：Host头设为目标域名，确保后端服务器能正确处理请求；X-Real-IP和X-Forwarded-For可以让后端记录真实的客户端IP。

额外注意事项 #

1. 确保你的Nginx已经安装了ngx_http_proxy_module（大部分默认安装的Nginx都包含这个模块）。
2. 检查/etc/nginx/auth/foo文件的权限，确保Nginx进程能读取它（一般设置为640，属主为root，属组为www-data或Nginx运行的用户）。
3. 测试目标域名newdomain.com是否能被Nginx服务器访问到，可以在服务器上用curl https://newdomain.com/downloads/bar.csv测试连通性。

这样修改后，用户访问http://example.com/foo/bar.csv时，会先弹出身份验证窗口，验证通过后才能获取到目标文件，完全符合你的需求。

内容的提问来源于stack exchange，提问作者Loko