![使用 Nginx 限制对 MVC 应用程序的一个控制器的访问](https://linux22.com/image/588588/%E4%BD%BF%E7%94%A8%20Nginx%20%E9%99%90%E5%88%B6%E5%AF%B9%20MVC%20%E5%BA%94%E7%94%A8%E7%A8%8B%E5%BA%8F%E7%9A%84%E4%B8%80%E4%B8%AA%E6%8E%A7%E5%88%B6%E5%99%A8%E7%9A%84%E8%AE%BF%E9%97%AE.png)
我有一个 MVC 应用程序,其中一个控制器仅需要从多个 ip 访问(此控制器是一个 oauth 令牌回调陷阱 - 用于 google/fb api 令牌)。我的配置文件如下所示:
geo $oauth {
default 0;
87.240.156.0/24 1;
87.240.131.0/24 1;
}
server {
listen 80;
server_name some.server.name.tld default_server;
root /home/user/path;
index index.php;
location /oauth {
deny all;
if ($oauth) {
rewrite ^(.*)$ /index.php last;
}
}
location / {
if ($request_filename !~ "\.(phtml|html|htm|jpg|jpeg|gif|png|ico|css|zip|tgz|gz|rar|bz2|doc|xls|exe|pdf|ppt|txt|tar|mid|midi|wav|bmp|rtf|js|xlsx)$") {
rewrite ^(.*)$ /index.php last;
break;
}
}
location ~ \.php$ {
fastcgi_pass unix:/var/run/php5-fpm.sock;
fastcgi_index index.php;
include fastcgi_params;
}
}
它可以工作,但是看起来不正确。
我认为以下内容合乎逻辑:
location /oauth {
allow 87.240.156.0/24;
deny all;
rewrite ^(.*)$ /index.php last;
}
但这种方式总是会发生重写,允许和拒绝指令会被忽略。我不明白为什么……
答案1
它总是重写的原因是重写指令是在重写阶段评估的,该阶段在访问阶段之前,其中评估允许和拒绝。它们在文件中的出现顺序无关紧要。您可以通过两种方式解决这个问题:要么不要在 location /oauth 使用重写将请求发送到您的前端控制器,要么在重写阶段处理源 ip。您已经在工作配置中执行了后者,但可以做得更清楚一些:
geo $oauth_denied {
default 1;
87.240.156.0/24 0;
87.240.131.0/24 0;
}
server {
...
location /oauth {
if ($oauth_denied) { return 403; }
rewrite ^ /index.php last;
}
...
}
或者:
server {
...
# include at server level so they're inherited by locations
include fastcgi_params;
location /oauth {
allow 87.240.156.0/24;
deny all;
# try_files will change $uri so all the params work
try_files /index.php =404;
fastcgi_pass unix:/var/run/php5-fpm.sock;
}
...
}