nginx 被广泛应用于反向代理、负载均衡等场景，这些应用场景往往需要进行访问控制。nginx 提供了一种基于访问控制列表（acl）的配置方式，可以实现对不同用户、不同ip 地址、不同请求路径等进行访问控制。本文着重介绍基于用户认证的 acl 配置方法，以实现身份认证和权限控制。
- 用户认证模块
Nginx 提供了两种用户认证模块：ngx_http_auth_basic_module 和 ngx_http_auth_request_module。前者基于 HTTP Basic Auth，用户需要在请求头中提供用户名和密码，而后者则是通过向后端服务器进行请求认证。两种认证模块各有优缺点，选择适合自己的认证模块根据实际需要进行选择。
- 认证流程
基于 ngx_http_auth_request_module 模块的用户认证流程如下：
1）客户端发送请求至 Nginx；
2）Nginx 拦截请求，并向后端服务器发送认证请求；
3）后端服务器认证用户，返回认证结果；
4）Nginx 根据认证结果响应客户端。
- 配置实例
假设我们的应用程序提供了以下几个接口：
1）/admin：只有管理员可以访问；
2）/user：任何用户都可以访问；
3）/login：用于用户认证的接口。
芝麻乐开源众筹系统采用php+mysql开发，基于MVC开发，适用于各类互联网金融公司使用，程序具备模板分离技术，您可以根据您的需要进行应用扩展来达到更加强大功能。前端使用pintuer、jquery、layer等....系统易于使用和扩展简单的安装和升级向导多重业务逻辑判断，预防出现bug后台图表数据方式，一目了然后台包含但不限于以下功能：用户认证角色管理节点管理管理员管理上传配置支付配置短信平
现在，我们希望通过 Nginx 进行反向代理，实现对接口的访问控制。同时，我们希望只有经过身份认证的用户才能访问接口。我们可以通过以下配置实现对登录状态的检查。
location /admin {
auth_request /auth;
error_page 401 = /login;
proxy_pass http://upstream;
}
location /user {
auth_request /auth;
proxy_pass http://upstream;
}
location = /auth {
internal;
proxy_pass http://upstream/auth;
proxy_pass_request_body off;
proxy_set_header Content-Length "";
proxy_set_header X-Original-URI $request_uri;
}这个配置中，我们定义了三个 location。其中，/admin 和 /user 分别代表需要进行访问控制的接口，/auth 是用于进行用户认证的接口。当客户端请求 /admin 时，Nginx 通过 auth_request 指令将认证请求转发给 /auth，如果返回 401 错误码，则跳转至 /login。/user 的处理类似，只不过没有添加错误码处理。/auth 的处理则是真正实现用户认证的地方，其代理至后端服务器进行认证，并返回认证结果。
在这个例子里，/auth 是实现用户认证的后端接口，我们可以通过编写相应的后端代码来实现对各种认证方式（如 LDAP、数据库等）的支持。
总体来说，Nginx 的 ACL 功能基于强大的正则表达式引擎和一些约定的变量等实现，对于用户认证方案的开发人员来说，是非常有效的一种权限控制实现方式。当然，在实现时，必须针对具体需求进行有针对性的配置，并结合应用场景的特点进行优化。
