Dashy 如何结合 oauth2-proxy 与 nginx 配置 Header 认证实现反向代理自动登录【免费下载链接】dashy A self-hostable personal dashboard built for you. Includes status-checking, widgets, themes, icon packs, a UI editor and tons more!项目地址: https://gitcode.com/GitHub_Trending/da/dashy如果你的服务前面已经跑着 oauth2-proxy对接任意 OIDC / OAuth2 提供商希望访问 Dashy 时不再出现 Dashy 自己的登录页而是由反向代理完成登录、Dashy 直接读取用户身份并自动签到这就是 Header 认证要解决的问题。整条链路是oauth2-proxy 负责登录nginx 对每个请求先向 oauth2-proxy 的/oauth2/auth端点做校验再把用户名作为X-Remote-User头转发给 DashyDashy 校验请求来源 IP 在proxyWhitelist内、读取该头并自动完成登录。下面按 Header Authentication 官方文档 中的示例针对 Synology SSO 场景组织配置与验证方式文档中出现的域名、client 凭证等均为示例值替换成你自己的环境即可。前提条件这条方案依赖三个组件各就各位oauth2-proxy已对接你的 OIDC / OAuth2 提供商本文示例使用provider oidc对接 Synology SSOnginx作为反向代理用auth_request做请求级校验并把用户名头转发给 DashyDashy监听在本机示例中是127.0.0.1:4000配置文件位于/user-data/conf.yml。安全边界只有一条Dashy 只能经代理访问。Dashy 会信任白名单里任意 IP 发来的用户名头如果有人能绕过 nginx 直连 Dashy、且其 IP 恰好被加进了白名单就可以伪造该头。请在网络或防火墙层面锁死这一点。第一步配置 Dashyconf.yml在/user-data/conf.yml的appConfig.auth下启用 Header 认证appConfig: auth: enableHeaderAuth: true users: - user: alice hash: 0a7b1d4c2e... # SHA-256 hash, see below type: admin - user: bob hash: 3f8e2b1a9d... type: normal headerAuth: userHeader: X-Remote-User proxyWhitelist: - 127.0.0.1 - ::1 - ::ffff:127.0.0.1 logoutRedirectUrl: https://dashy.example.com/oauth2/sign_out?rdhttps://sso.example.com/logout各字段的作用enableHeaderAuth: true— 打开 Header 认证模式userHeader— 承载用户名的头名本示例用X-Remote-User与 nginx 转发的一致。默认值是Remote-User匹配时不区分大小写proxyWhitelist— Dashy 只接受来自这些 IP 的用户名头列表外的请求一律拒绝。这个字段实际上是必填的为空时没有任何请求能通过。由于 nginx 通过127.0.0.1:4000回源白名单填回环地址如果你用 Docker 部署要填的是代理容器在共享网络上的地址不是宿主机或客户端 IPusers— 允许进入的用户列表。转发来的用户名不区分大小写会与此表匹配以得到typeadmin或normal。即使代理已经完成了真正的认证用户也必须在表里有条目未列出的用户会被拒绝hash— 任意字符串的 SHA-256 值。Header 认证下没人会输入密码代理已完成登录但 Dashy 用 user hash 派生保存在浏览器里的会话 token所以每个用户都需要一个。生成方式与内置认证相同echo -n 任意密码 | sha256sum把输出的 64 位十六进制串填进去即可logoutRedirectUrl— 登出时把浏览器导向代理的登出端点。oauth2-proxy 的端点是/oauth2/sign_out可带rd查询参数串联身份提供商的登出例如?rdhttps://sso.example.com/logout。注意rd的域名必须在 oauth2-proxy 的whitelist_domains里否则重定向会被丢弃。如果配置了logoutRedirectUrl登出按钮会把浏览器带到该 URL由代理销毁自己的会话不配置的话Dashy 登出只清 Dashy 自己的 cookie代理会话仍在下次刷新页面会直接从 Header 重新签入。第二步配置 oauth2-proxy示例配置文档示例oidc_*地址与凭证请替换为你自己的提供商provider oidc oidc_issuer_url https://login.synology.nas/webman/sso oidc_jwks_url https://login.synology.nas/webman/sso/openid-jwks.json scope openid profile email oidc_email_claim sub client_id client-id client_secret client-secret cookie_secret secret # openssl rand -base64 32 cookie_name cookie_dashy cookie_domains .example.com cookie_secure true email_domains [ * ] http_address 127.0.0.1:4180 upstreams [ static://200 ] set_xauthrequest true whitelist_domains [ dashy.example.com, login.synology.nas ]其中四个关键项set_xauthrequest true— 在认证响应里返回用户名X-Auth-Request-User头供 nginx 读取upstreams [ static://200 ]— oauth2-proxy 在这里只应答认证检查不转发业务流量nginx 自己代理到 Dashywhitelist_domains— 必须包含rd登出重定向的目标域名否则重定向被丢弃http_address 127.0.0.1:4180— oauth2-proxy 只监听本机端口仅接受 nginx 的检查请求。文档示例用 systemd 单元来运行它[Unit] DescriptionOAuth2 Proxy (Dashy) Afternetwork.target [Service] Useroauth2proxy Groupoauth2proxy ExecStart/opt/oauth2-proxy/oauth2-proxy --config/etc/oauth2-proxy/dashy.cfg --trusted-proxy-ip127.0.0.1/32 Restartalways RestartSec10 [Install] WantedBymulti-user.target其中--trusted-proxy-ip127.0.0.1/32让 oauth2-proxy 信任 nginx 设置的X-Forwarded-*头路径/opt/oauth2-proxy/与/etc/oauth2-proxy/dashy.cfg是示例部署位置按你的安装方式调整。第三步配置 nginx 站点nginx 站点配置示例server_name与proxy_pass目标按你的实际域名和 Dashy 地址替换map $auth_user $auth_user_local { ; ~^(?lp[^]).* $lp; default $auth_user; } server { server_name dashy.example.com; # TLS config here location / { auth_request /oauth2/auth; auth_request_set $auth_user $upstream_http_x_auth_request_user; proxy_set_header X-Remote-User $auth_user_local; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; error_page 401 /oauth2/sign_in; proxy_pass http://127.0.0.1:4000; } location /oauth2/ { proxy_pass http://127.0.0.1:4180; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Scheme $scheme; proxy_set_header X-Forwarded-Proto $scheme; proxy_set_header X-Forwarded-Host $host; proxy_set_header X-Auth-Request-Redirect $request_uri; proxy_set_header Content-Length ; proxy_pass_request_body off; } }工作机制location /里每个请求先经auth_request /oauth2/auth校验未认证时返回 401由error_page 401 /oauth2/sign_in把用户引到 oauth2-proxy 的登录流程auth_request_set从 oauth2-proxy 的响应头里取出用户名顶部的map块会把用户名里的domain部分剥掉——oauth2-proxy 转发的是邮箱而 Dashy 匹配的是auth.users里的裸用户名所以这一步不能省location /oauth2/把 oauth2 相关路径代理到 oauth2-proxy 的本机端口示例中127.0.0.1:4180并关闭请求体转发oauth2-proxy 只处理认证端点。验证与排查配置完成后通过https://dashy.example.com你的域名访问未登录时浏览器应被引到 oauth2-proxy 的登录页登录成功回来后直接看到 Dashy 仪表盘全程不经过 Dashy 登录页。判断自动登录是否生效文档给出的方式是通过/get-user端点Dashy 前端加载时会调用它服务端把请求 IP 与proxyWhitelist比对来源可信时从userHeader读出用户名返回。前端据此在auth.users里查出该用户的type、用 user hash 派生会话 token 并写入 cookie之后的isLoggedIn、管理员检查、按页/按 section/按 item 的可见性规则与普通认证行为一致。相关实现见 HeaderAuth.js前端与 services/endpoints/get-user.js、services/app.js服务端。服务端同样的白名单中间件也守卫着配置与 API 路由来源不可信时请求在到达任何处理器之前就被拒绝保存配置等写操作还额外要求匹配到的用户type: admin。出问题时的判断标准是具体的报错现象文档列出的对照如下现象原因处理401 Unauthorized - not from trusted proxy请求到达 Dashy 的来源 IP 不在proxyWhitelist里。检查对象是直连 IP——Docker 环境下是代理容器在共享网络上的地址不是宿主机或客户端 IP用docker inspect proxy-container或直接从 Dashy 日志里读被拒绝的 IP找到实际来源 IP加入proxyWhitelistDocker 下也可用docker compose exec dashy getent hosts proxy-service-name查询改完重启 Dashy401 Unauthorized - missing user header来源 IP 可信但请求里没有用户头。要么代理没转发要么userHeader与代理实际发送的头名不一致核对代理配置里的头名与conf.yml中的userHeader是否一致User ... from upstream proxy was not found in conf.yml代理发了一个在auth.users里没有条目的用户名添加user与之匹配的条目大小写不敏感能登录但保存不了配置该用户的type不是admin。保存配置仅限 admin将其条目改为type: admin登出后又立刻被登回默认行为登出只清了 Dashy 的 cookie代理会话还在下次刷新即从 Header 重新签入把logoutRedirectUrl指向代理的登出端点结束两侧会话安全限制Header 认证只和前面的代理一样强Dashy 信任任意白名单 IP 发来的头整套模型成立的前提是 Dashy 除经代理外不可达需要在网络或防火墙层面落实proxyWhitelist保持收紧只放代理真实的连接 IP不要放宽用户名与角色最终以conf.yml为准代理认证了但没列进auth.users的用户会被拒绝所以把某人从auth.users移除即使代理仍放行也能挡住他。【免费下载链接】dashy A self-hostable personal dashboard built for you. Includes status-checking, widgets, themes, icon packs, a UI editor and tons more!项目地址: https://gitcode.com/GitHub_Trending/da/dashy创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
