一个 lua 写的使 nginx 支持 google authentication 的插件

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

爱意满满的作品展示区。

这是一个创建于 3228 天前的主题，其中的信息可能已经有所发展或是发生改变。

前段时间自己给公司项目搞得,整理了一下放出来希望能帮到需要的人：)

特点就是直接在 nginx 上套不需要自己开发服务比较方便, 原理是 HTTP Basic Authorization 用户名就是自己配置的用户名密码就填写 google authenticatio 生成的一次性 code 就好支持多用户, ip 白名单。

主要参考的是这篇文章

8 条回复 • 2016-01-15 16:44:32 +08:00

kchum

2016-01-13 21:46:40 +08:00 via iPhone

Cool.最近正好要研究的东东

ivyliner

2016-01-13 21:55:08 +08:00

能简单介绍一下应用场景 ?

ryd994

2016-01-14 03:35:01 +08:00 via Android

1.上传 secret 是不是不太安全
2.IP 白名单其实不需要，用 ngx_http_access_module 就可以了， satisfy any

beyondsoft

2016-01-14 07:53:01 +08:00

@ryd994 恩
1.上传 secret 既不方便也不太安全，公司实现的是发起一个 http 去远程验证那样的话部署起来不方便所以我特意拆成这样了哈哈哈~

2.如果用 ngx_http_access_module 的确能满足大部分需求很好回头我就把白名单移出掉谢谢！

v1024

2016-01-14 08:15:44 +08:00 via iPhone

basic 认证不加密，而且一次性密码有效时间十几秒，如果被中间人截获，马上登录仍然是有效的。

另外，浏览器会保存 basic 认证的账号密码，一次性密码过期后，会不会重复弹出认证界面？非浏览器场景当我没说。

ryd994

2016-01-14 09:11:22 +08:00 via Android

@v1024 1.所以其实 RFC 一直强调 basic 应该和 TLS 之类的一起用
2. 会

msg7086

2016-01-14 10:05:54 +08:00

@v1024
必须要和服务器端代码结合保存认证，否则，会的。

greenskinmonster

2016-01-15 16:44:32 +08:00

多谢，正好想找个二次认证的方案。
Basic 认证还是走 SSL 吧。

楼主的方法怎么说也比固定用户名密码要更加安全些。