auth_request в nginx: Как можно учитывать внешний порт при пересылке к error_page?

Вопрос или проблема

services:
  rproxy:
    build: ...
    ports:
      - 800:80
  api:
    build: ...
  secret:
    build: ...

server {
  listen 80;

  # Логирование ошибок и доступа
  error_log /dev/stderr debug;
  access_log /dev/stdout combined;

  location /api/ {
      proxy_pass http://api/api/;
      proxy_set_header Host $host:$server_port;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto $scheme;
  }

  location @error401 {
      return 302 $scheme://$host:$server_port/api/user/login/?returnto=$request_uri;
  }

  location /secret/ {
      # Проверка, аутентифицирован ли пользователь, обращаясь к API
      auth_request /api/user/login/state;

      # Перенаправление на страницу входа при 401 Неавторизовано
      error_page 401 403 = @error401;

      # Если аутентифицирован, проксировать запрос как обычно
      rewrite ^/secret(/.*)$ $1 break;
      proxy_pass http://secret/;
      proxy_set_header Host $host:$server_port;
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header X-Forwarded-Proto $scheme;
  }
}

location @error401 {
    return 302 $auth_request_host/api/user/login/?returnto=$request_uri;
}
location /secret/ {
    # Проверка, аутентифицирован ли пользователь, обращаясь к API
    auth_request_set $auth_request_host $scheme://$host:$server_port;
    auth_request /api/user/login/state;
}

location @error401 {
   return 302 $scheme://$host:800/api/user/login/?returnto=$request_uri;
}

Ответ или решение

Как сохранить внешний порт при перенаправлении на error_page в Nginx

В вашем случае, где вы управляете несколькими контейнерами Docker, и у вас есть сложная конфигурация Nginx для проверки аутентификации, возникла проблема с неправильным портом при перенаправлении пользователей. Рассмотрим, как можно добиться желаемого поведения.

Анализ проблемы

Вы используете auth_request для проверки аутентификации пользователей, обратившись к API. В случае, если пользователь не аутентифицирован, вы получаете ответ 401, который приводит к перенаправлению на страницу входа. Однако ваше перенаправление происходит на неверный порт (80 вместо 800), что затрудняет доступ к странице входа.

Существующая проблема заключается в том, что при обработке ошибок, Nginx по умолчанию использует конфигурацию серверного блока, которая может игнорировать ваш внешний порт.

Решение

Чтобы правильно настроить Nginx и сделать так, чтобы ваш внешний порт сохранялся, можно воспользоваться переменными и пересохранением значений в конфигурации Nginx. Вот как можно сделать это шаг за шагом:

1. Используйте переменные для сохранения значений: Создайте переменные для хранения значения порта и схемы, чтобы избежать их потери при перенаправлении.

2. Измените конфигурацию блоков: Предлагаю внести изменения в вашу конфигурацию следующим образом:

server {
    listen 80;

    error_log /dev/stderr debug;
    access_log /dev/stdout combined;

    # Сохранение значений портов и схемы в переменных
    set $external_port $server_port;
    set $external_scheme $scheme;

    location /api/ {
        proxy_pass http://api/api/;
        proxy_set_header Host $host:$external_port;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $external_scheme;
    }

    location @error401 {
        return 302 $external_scheme://$host:$external_port/api/user/login/?returnto=$request_uri;
    }

    location /secret/ {
        auth_request /api/user/login/state;

        # Перенаправление на страницу входа при 401
        error_page 401 403 = @error401;

        rewrite ^/secret(/.*)$ $1 break;
        proxy_pass http://secret/;
        proxy_set_header Host $host:$external_port;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $external_scheme;
    }
}

Объяснение изменений

• Переменные: Мы добавили переменные $external_port и $external_scheme для хранения значений порта и схемы. Это позволяет избежать путаницы, когда вы делаете запрос на аутентификацию.

• Использование переменных: При перенаправлении к странице входа, теперь используется заранее сохраненное значение $external_scheme и $external_port, что позволяет сохранить правильный порт относительно внешнего доступа.

Проверка настройки

После внесения коррективов важно протестировать вашу конфигурацию:

1. Проверьте статусы HTTP для запросов к /secret/.
2. Убедитесь, что пользователь перенаправляется именно на http://server_name:800/api/user/login/?returnto=$request_uri.
3. Проверьте логи Nginx для выявления возможных ошибок или некорректных перенаправлений.

Заключение

Следуя приведенным рекомендациям, вы сможете настроить корректное поведение перенаправлений в Nginx, сохраните внешний порт и обеспечьте плавный процесс аутентификации для пользователей. Не забывайте также периодически обновлять документацию вашего проекта, чтобы все изменения были задокументированы, что поможет избежать путаницы в будущем.