Как сделать единую точку входа в nginx через auth_basic?

Question

[kondratev-ad]

Допустим есть два приложения на host1.ru и host2.ru. Хочу сделать защиту через auth_basic. Проблема в том, что при заходе на host1.ru с логин/пароль и нажатием ссылки перехода на host2.ru, nginx опять запрашивает пароль на страницу. Можно ли как-нибудь сделать так, чтобы при заходе на одном сайте, и переходе на другой через ссылку, на втором не нужно было бы снова вводить логин/пароль на страницу?

default.conf

user nginx;
worker_processes auto;
pid /run/nginx.pid;
include /etc/nginx/site-enabled/*.conf;

events {
    worker_connections  1024;
}
http {
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    types_hash_max_size 2048;
    server_tokens off;

    proxy_set_header Host $host;
    auth_basic "HTTP Basic Authentication";   #Пароль на страницу
    auth_basic_user_file page_pass/my_pass;

    server_names_hash_bucket_size 64;
    server_name_in_redirect off;
    server {
        return 404;
    }
    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_prefer_server_ciphers on;
    access_log var/log/nginx/hosts/all_access.log;
    error_log var/log/nginx/hosts/all_error.log;

    gzip on;
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 6;
    gzip_buffers 16 8k;
    gzip_http_version 1.1;
    gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript;

    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-available/*;
}

host1.conf

server {
  listen 80;
  server_name host1.ru;

  location / {
    proxy_set_header Host $host;
    proxy_pass http://host1:8000;
  }
}

host1.conf

server {
  listen 80;
  server_name host2.ru;

  location / {
    proxy_set_header Host $host;
    proxy_pass http://host2:8000;
  }
}

Answer 1

[shurshur]

Никак, http auth помнит авторизацию только для конкретного сайта/домена. Придётся перейти на общий домен, смириться с двумя авторизациями или отказаться от http auth вообще. К слову, её в интернетах вообще используют исчезающе редко, так как она сильно неудобна для пользователя не только по причине отсутствия кроссдоменности.

Comments

[kondratev-ad]

А что можете посоветовать вместо нее? Нужно закрыть почти все страницы приложений. Сейчас у меня 3-4 приложения, между ними сделал сквозную авторизацию через OAuth2.

[Ипатьев]

Например сделать нормальную авторизацию.
Или, если все это на соплях и на коленке, то сделать комбинированную защиту - для списка ip пускает так, а для остальных запрашивает basic

[kondratev-ad]

Ипатьев, что под собой подразумевает нормальная авторизация?

[Ипатьев]

Вот как на этом сайте, https://qna.habr.com/

[shurshur]

kondratev-ad, посоветую сделать авторизацию как обычно на сайтах, с вводом логина-пароля в форму, а для приложений - вызовом API-сервиса. В ответ устанавливать куки, а для приложений либо тоже куки, либо API-ключ. А ещё лучше осваивать современные хорошо продуманные методы авторизации, всякие oauth2, jwt итд.

Если всё же пренепременно хочется http auth, то сайты занести на один домен, раскидывая функционал по location.

[kondratev-ad]

Ипатьев, гениально, а я то уж подумал ......

[kondratev-ad]

shurshur, спасибо. Да наверное буду пересматривать всё

Answer 2

[Dimonchik]

https://www.nginx.com/resources/wiki/modules/auth_...

Answer 3

[garbagecollected]

Можно, но это относительно не безопасно.
Вам надо заменить все ссылки на host2.ru вот на такой шаблон:

https://имя:пароль@host2.ru/остальная/ссылка?включая=параметры#можно_с_хешем

то есть, можно выполнить код:

<script>
  // Поиск всех ссылок
  document.querySelectorAll('a[href]').forEach(a=>{
    // Если у ссылки определенный хост 
    if(a.hostname == 'host2.ru'){
      const credentials = `имя:пароль`;  // в этом месте заменить имя и пароль на текущие средствами PHP
      // меняем в ссылке https:// на https://имя:пароль@
      a.href = a.href.replace(/^(https?):\/\//,'$1://'+credentials+'@');
    }
  });
</script>

Теперь все ссылки не будут требовать логин-пароль