nginx配置密码访问(nginx 用户名密码验证)

nginx配置密码访问

访问网站时出现403 Forbidden错误的原因，Forbidden的意思就是被禁止访问的意思，就是说没有权限访问此站。访问网站时出现403 Forbidden错误的原因有以下几个方面：

1. 在一定时间内过多地访问此网站，被防火墙拒绝访问了;换个时间段访问即可；

2. 网站域名解析到了空间，但空间未绑定此域名;联系网站空间供应商解决；

3. 网页脚本文件在当前目录下没有执行权限;联系技术人员，进行相关调试；

4. 在不允许写/创建;文件的目录中执行了创建/写文件操作;

5. 以http方式访问需要ssl连接的网址;

6. 浏览器不支持SSL 128时访问SSL 128的连接;

7. 连接的用户过多，可以过后再试;

8. 在身份验证的过程中输入了错误的密码；输入正确密码即可解决

nginx 用户名密码验证

用sniffer工具可以截获数据包，分析出哪一段是密码。 但是密码在传送过程中一般是被加密的（就是说你的密码是123的话，在传送过程中可能被加密为ABC），即使你截获了，也不知道原文是什么。

nginx带密码转发

你好，为你推荐LNMP一键部署脚本，下载后，解压，直接执行即可安装。无需其他操作。

LNMP一键安装包是什么?

LNMP一键安装包是一个用Linux Shell编写的可以为CentOS/RHEL/Fedora/Aliyun/Amazon、Debian/Ubuntu/Raspbian/Deepin/Mint Linux VPS或独立主机安装LNMP(Nginx/MySQL/PHP)、LNMPA(Nginx/MySQL/PHP/Apache)、LAMP(Apache/MySQL/PHP)生产环境的Shell程序。

为什么需要它?

编译安装需要输入大量的命令，如果是配置生产环境需要耗费大量的时间。 不会Linux的站长或Linux新手想使用Linux作为生产环境……

有什么优势和功能?

无需一个一个的输入命令，无需值守，编译安装优化编译参数，提高性能，解决不必要的软件间依赖，特别针对配置自动优化。 支持自定义Nginx、PHP编译参数及网站和数据库目录、支持生成LetseEcrypt证书、LNMP模式支持多PHP版本、支持单独安装Nginx/MySQL/MariaDB/Pureftpd服务器，同时提供一些实用的辅助工具如：虚拟主机管理、FTP用户管理、Nginx、MySQL/MariaDB、PHP的升级、常用缓存组件Redis/Xcache等的安装、重置MySQL root密码、502自动重启、日志切割、SSH防护DenyHosts/Fail2Ban、备份等许多实用脚本。

如何获取?

你可以自由 下载 并使用它在VPS或独立服务器上，做为真正的生产环境或测试环境。 我们为什么采用LNMP这种架构? 采用Linux、PHP、MySQL的优点我们不必多说。

Nginx是一个小巧而高效的Linux下的Web服务器软件，是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的，已经在一些俄罗斯的大型网站上运行多年，目前很多国内外的门户网站、行业网站也都在是使用Nginx，相当的稳定。 Nginx相当的稳定、功能丰富、安装配置简单、低系统资源……

脚本下载地址：

完整版： http://soft.vpser.net/lnmp/lnmp1.6-full.tar.gz 文件大小：676MB

MD5：dfc551508ec32bd21ff41e7795b37708

nginx加密

以Nginx对OpenSSL的使用为入口，来分析OpenSSL的API的模型。OpenSSL是两个库，如果以握手为目的只会使用libssl.so这个库，但是如果有加密的需求，会使用libcrypto.so这个库。Nginx中对于OpenSSL的使用大部分是直接使用的libssl.so的接口API的，但是仍然会有少部分使用libcrypto.so。除了Nginx，本章还会分析一个s_server程序，通过这个程序的设计，能够对OpenSSL的内部架构有一个初探。

Nginx的Stream中SSL的实现

Nginx的Stream Proxy中有对于SSL的Terminator的支持。这个终端的意思是可以在Nginx层面把SSL解掉，然后把明文传输给后端。也就是说支持SSL的Nginx的Stream模块实际上是一个TLS的握手代理，将TLS信道在本地解了再发送到后端，所以整个过程是一个纯粹的握手过程，至于ALPN这种功能就需要后端与TLS的配合才可以，所以这种行为在stream 的SSL中是不能支持的。

这是一个Nginx的Stream SSL模块相关的函数列表，主要的Stream模块特有的功能也都就在这个列表里了。可以看到除去配置和模块的整体初始化函数，只剩下一个连接初始化，ssl的入口handler和握手的handler。显然握手的handler是入口handler的深入部分。鉴于Nginx的异步模型，可以很容易的想到是Nginx在收到一个连接的时候首先使用ssl_handler作为通用入口，在确定是SSL连接之后就会切换到handshaker_handler作为后续的握手handler函数。

但是Nginx在支持SSL的时候并不是这样的轻松，因为大量的SSL相关函数在ngx_event_openssl.c文件里，这个文件里的函数被HTTP模块和Stream模块或者其他需要SSL支持的模块共同使用。包括Session Cache等Nginx重新实现的OpenSSL功能。通过这个例子可以看到如果要自己实现一个SSL支持，我们需要两个东西，一个是SSL的用户端的接口封装库（ngx_event_openssl.c），一个是如何把封装库的逻辑嵌入到我们的代码流程的逻辑。Nginx作为一个强大的负载均衡设备，这一部分的接口嵌入应该是要追求的最小化实现的。也就是说Stream模块相关的代码越少越好（ngx_stream_ssl_module.c）。所以我们可以看到几乎就几个钩子函数的定义。

无论是Stream还是HTTP模式，整个TLS握手的核心函数都是ngx_ssl_handshake函数。我们看这个函数就能看到一个企业级的握手接口的使用案例。以下是一个简化版的函数流程：

以上是一个同步版本的大体逻辑，异步版本的就没有显示。可以看到主要的SSL握手的入口函数是SSL_do_handshake。如果握手正常，函数返回1之后，使用SSL_get_current_cipher或得到服务器根据客户端发来的密码学参数的列表选择得到的密码学套件。这里会返回服务器选择的那个，如果返回为空，那么就代表了服务器没有找到匹配的套件，连接就不能继续。SSL_CIPHER_description函数输入活的指针，返回一个字符串格式的套件的描述信息，Nginx这里使用了这个信息，最后一步就是查找当前的Session Cache中是否有可以复用的逻辑。这里只是一个查询，并不是就是复用的决定。因为是否复用是在连接建立之前由配置决定的，如果Nginx配置了不使用OpenSSL的Session Cache，这个查询就会一直返回0，表示没有被复用。而且这里查询的OpenSSL中是否有复用，并不代表Nginx内部是否有复用，Nginx内部还有一套自己的Session Cache实现，但是使用SSL_开头的API函数都是OpenSSL的接口。

这个简单的接口可以看出对OpenSSL的API的使用的一些端倪。OpenSSL提供的API非常多，我们写一个简单的示例程序仅仅会用到几个最简单的接口，例如SSL_new等。但是一个正式的项目，会用到很多细节的API接口。由于OpenSSL只会暴露他认为应该暴露的API函数出来给调用者使用，其他的函数调用者是用不到的，并且OpenSSL内部的结构体外部也是不能使用的，所以使用者所有的行为都是要基于API进行设计。

OpenSSL分为libcrypto.so和libssl.so两个库。在使用TLS握手的时候，主要的调用API都位于ssl.h文件中定义，都是SSL_开头的API。但是这并不意味着只能调用libssl.so的接口，高级的用户并不是想要使用OpenSSL的TLS握手功能，完全可以直接调用libcrypto.so里面的各种各样的密码学库。总的来说libssl.so是一个TLS握手库，而libcrypto.so是一个通用的密码学的库。只是libssl.so的握手使用的密码学是完全依赖libcryto.so中提供的。也就是因此，在使用TLS握手的时候，是基本上不会直接用到libcrypto.so中的API的。

s_server

openssl s_server是一个简单的SSL服务器，虽然说是简单，但是其中包含了大部分用户SSL编程需要考虑的东西。证书，密码，过期校验，密码学参数定制，随机数定制等等。这是一个功能性的程序，用于验证openssl内部的各项SSL握手服务器的功能是否能够正常使用，并不能用于直接服务于线上业务。

s_server程序启动的第一步是解析各种参数，在正常运作的时候，第一步是加载key。

我们看到OpenSSL内部调用的函数和在使用OpenSSL库接口的时候是不一样的，OpenSSL的子程序会调用一些内部的接口。比如这里使用了ENGINE_init，直接初始化了底层的引擎系统。ENGINE系统是OpenSSL为了适配下层不同的数据引擎设计的封装层。有对应的一系列API，所有的ENGINE子系统的API都是ENGINE_开头的。一个引擎代表了一种数据计算方式，比如内核的密码学套件可以有一个专门的OpenSSL引擎调用到内核的密码学代码，QAT硬件加速卡也会有一个专门的引擎，OpenSSL自己的例如RSA等加密算法的实现本身也是一个引擎。这里在加载key的时候直接初始化一个引擎，这个引擎在init之前还要先调用一个setup_engine函数，这个函数能够设置这个将要被初始化的引擎的样子。s_server之所以要自己用引擎的API接口是因为它支持从命令行输入引擎的参数，指定使用的引擎。

可以看到，如果指定了auto，就会加载所有默认的引擎。如果指定了特定ID的引擎，就只会加载特定的引擎。一个引擎下面是所有相关的密码学的实现，加载key就是一个密码学层面的操作，所以也要使用ENGINE提供的接口。事实上，最后都是分别调用了对应的ENGINE的具体实现，这中间都是通过方法表的指针的方式完成的。ENGINE定义的通用的接口还有很多，这里只是用到了加载密钥。

表内都是对不同的EVP_CIPHER和EVP_MD的接口的定义。

我们回到加载key的函数，继续阅读发现一个 key = bio_open_default(file, 'r', format); 这个key是一个BIO类型的指针，这个BIO类型的指针就是另外一个OpenSSL的子系统，所有的IO操作都会被封装到这个子系统之下。例如这里使用的文件IO，用于从文件中读取key的结果。BIO被设计为一个管道式的系统，类似于Shell脚本中见到的管道的效果。有两种类型的BIO，一种是source/sink类型的，就是我们最常见的读取文件或者Socket的方式。另外一种是管道BIO，就是两个BIO可以通过一个管道BIO连接起来，形成一个数据流。所以BIO的方式是一个很重量级的IO系统的实现，只是目前只是被OpenSSL内部使用的比较多。

继续向下阅读加载密钥的函数，会发现PEM_read_bio_PrivateKey函数，这一步就是实际的从一个文件中读取密钥了。我们现在已经有了代表文件读写的BIO，代表密码学在程序中的封装EVP，中间缺的桥梁就是文件中密钥存储的格式。这里的以PEM_开头的函数就代表了PEM格式的API。PEM是密码学的存储格式，PEM_开头的API就是解析或者生成这种格式的API，当然它需要从文件中读取，所以参数中也会有BIO的结构体，PEM模块使用BIO模块提供的文件服务按照定义的格式将密钥加载到内存。

OpenSSL的所有apps都会共享一些函数，这些函数的实现都在一个apps.c文件中，以上的加载密钥的函数也是其中的一个。s_server程序在调用完load_key之后会继续调用load_cert来加载证书。load_cert使用的子系统与load_key非常类似，类似的还有后面的load_crl函数，CRL（Certificate revocation lists）是CA吊销的证书列表，这项技术已经基本被OCSP淘汰。OpenSSL还提供一个随机数文件的功能，可以从文件中加载随机数。

s_server在加载完相关的密码学相关参数后，就会开始创建上下文，SSL_CTX_new函数的调用就代表了上下文的创建。这个上下文是后面所有SSL连接的母板，对SSL的配置设置都会体现在这个上下文的设置中。随后，s_server会开始设置OpenSSL服务器支持的TLS握手版本范围，分别调用SSL_CTX_set_min_proto_version和SSL_CTX_set_max_proto_version两个函数完成所有操作。

OpenSSL在共享TLS握手的Session时，需要生成一个Session ID，默认的情况，OpenSSL会在内部决定Session ID怎么生成。但是也提供了用户设置这个生成算法的API。s_server程序调用SSL_CTX_set_generate_session_id函数设置一个自己的回调函数，在这个回调函数中就可以完成Session ID的设置，从而取代掉OpenSSL自带的内部Session ID的生成器。OpenSSL在证书协商的时候还会允许外部的库使用者动态的修改采用的证书，这个机制是通过SSL_CTX_set_cert_cb来设置证书回调函数实现的。s_server也有这个函数的设置。程序走到这里，基本能看到OpenSSL的一个很大的特性，就是大部分的内部流程都会提供一个回调函数给使用者来注册，使用者可以按照自己的需求取代掉或者修改OpenSSL内部的功能。显然这个s_server程序是一个功能展示的程序，会用上大量的函数回调点。比如紧接着调用的SSL_CTX_set_info_callback函数就是在生成SSL的时候调用的，可以用于使用者获得状态。不但OpenSSL外部的机制可以在用户端设置，用户甚至可以设置加密算法的参数。例如s_server就会接下来根据用户是否提供DH参数来设置内部的参数。如果调用了SSL_CTX_set_dh_auto就意味着参数是使用内部的机制生成，这也是默认的行为。但是仍然可以提前提供，主要是为了性能的考虑，比如提前提供DH的大素数，DH算法在运算的过程中需要一个取模操作，这个取模是对一个大素数进行取模的，而这个大素数默认是在运行的时候动态生成的，但是我们可以提供这个素数，从而以牺牲一定的安全性为代价换来性能的提高。

s_server在设置完整个上下文之后，就会进入Socket监听和处理的模式。由于BIO框架包含了Socket的能力，所以这一步本质上就是调用BIO的接口。

这是一个典型的OpenSSL的Socket逻辑。BIO_sock_init这个函数在Linux下就是空函数，没有意义。BIO_lookup是一个通用的获取地址的方法，对于Socket就是IP:PORT的字符串，对于文件是文件的目录。BIO_socket意思就相当于在使用Socket变成的socket函数。BIO_listen也就自然对应listen函数，BIO_accept_ex和BIO_closesocket也是类似的意思。整个流程其实就与一个普通的Socket流程没有太大区别，只是BIO多了一层封装。因为OpenSSL是个跨平台的库，这层封装更多的意义在于用在跨平台的应用上的。

通过一个简单的s_server程序的分析可以看到整个OpenSSL的主要设计思路。它对外封装了不同的模块，例如ENGINE，EVP，BIO之类的封装。在大部分的流程上都提供了回调函数API，使用者可以用回调函数来修改OpenSSL原来的逻辑或者获得其他的信息。在使用OpenSSL的时候一般需要遵循类似的流程，就是创建上下文，然后配置上下文，然后运行服务。

nginx加解密

Nginx 跟 Haproxy 其实他们两个的定位是有所不同的，Nginx的定位是一个server，Haproxy的定位是一个load balancer。

Nginx通过各种plugin module可以支持Load balance的功能，而且性能不弱于haproxy太多，所以总有人拿来将两个东西比较。其实Apache也可以通过相关模块做load balancer，只不过性能差得多而已所以没人用而已。当然了Nginx的LB功能现在是其支柱主打功能而已。

看到有很多答案对于haproxy多进程有误解，这里特别说下，haproxy早就支持多进程模型，但是并不是Nginx的Worker Master结构，而是平等多进程结构，同时也支持REUSE PORT选项，所以在这里Nginx跟Haproxy对于多核利用上都是一样的并没有本质区别。

haproxy从1.8之后，添加了多线程的模式，现在它更推荐的也是这个模型，在一些平台上能够更好的利用多核。而Nginx从来没有多线程模型。而且看起来社区也没打算支持。

Nginx其实基于server的功能来说，是Haproxy不具备的，让Haproxy像一个普通Web server那样回复一个普通的HTTP请求是很难的，不大规模修改源码根本做不到。Haproxy是围绕转发模型设计的，整个流程就是围绕如何快速把一个请求或者回复转发到另一端。并不是像Server一样接受请求然后回复。

但是Nginx作为一个纯粹的LB来说，尤其是针对Web LoadBalancer来说，功能没有haproxy那么细致。Haproxy支持的ACL对象非常广泛，很多情况并不需要脚本辅助就可以完成复杂的功能，而Nginx稍微复杂的LoadBalance功能都需要使用脚本才能完成，这样性能就会差很多。

从功能角度上来讲，Nginx其实功能比Haproxy要多（当然并不都是免费的），因为他的开发社区和定位方向都比Haproxy要大和宽泛。在Nginx上面的各种解决方案也要多的多。比如WAF，haproxy一致都没有比较好的原生解决方案。还有包括最近针对Service Mesh的支持，haproxy都是很难跟得上。

但是基础功能，包括HTTP2，TLS 1.3，Script， SSL/TLS offload，ocsp，SNI preload，其实haproxy最新版本早就已经支持，甚至比Nginx还更早些（HTTP2比较晚，但是现在也支持了）。另外，关于硬件SSL offload支持其实主要是OpenSSL的engine的支持，所以这个大家都差不多，只要兼容最新OpenSSL都没什么问题。

Haproxy的优点其实是转发性能稍高，因为haproxy追求zero copy的forward流程，所以代码都倾向于优化在这一点上。但是这个优势现在被广泛的TLS/SSL应用抹平了，对比0 copy节省的时间来说加解密的消耗的性能占绝大多数，所以haproxy基本上在现在的广泛SSL环境下没有什么优势了。除非你想用纯HTTP，而且还想使用比较复杂的基于HTTP头部的Load Balance功能，那么Haproxy是个好选择，否则只是单纯LB的话，LVS性能其实更更高，毕竟人家在Kernel里面。

从代码层面来说，Nginx的结构化代码和模块化都比Haproxy好太多。Haproxy代码模块化一直是个大问题，内部结构模块化不足，二次开发困难，最近到1.9了才有些改善，但是仍然有很多内部trick的hack和让人发懵的FLAG。相比Nginx做到的彻底的模块化，可以轻易的通过开发自己的模块来改变或者实现相关功能，这个haproxy是不具备的。

从开发社区来说，Nginx也比Haproxy好太多，Haproxy虽然社区历史更久，但是一直都是不愠不火，贡献者因为原作者的严格的控制，一直都很少，再加上没有module开发功能，所以吸引的开发者一直都不多。带来的问题就是版本更新慢，支持的新功能慢。HTTP2的开发完全靠原作者一个人，所以支持进度严重拖后。

这篇文章看起来好像是变成了对haproxy吐槽，但是因为在工作中接触这两个东西实在太多，而且是进行深度二次开发，所以自认为还是有一定的了解的。从目前来看，如果haproxy不能更开放招募更多的贡献者，不能彻底修改架构支持module开发，是无法比拟NGINX的。

另外Haproxy优势一点的就是免费版的功能比Nginx免费版的更实惠。对于小又穷的站点的确是个好处。

nginx 代理 用户 密码

1.跨域问题的由来

何谓同源:URL由协议、域名、端口和路径组成，如果两个URL的协议、域名和端口相同，则表示它们同源。浏览器的同源策略，从一个域上加载的脚本不允许访问另外一个域的文档属性 ，是浏览器上为安全性考虑实施的非常重要的安全策略。举个例子：比如一个恶意网站的页面通过iframe嵌入了银行的登录页面（二者不同源），如果没有同源限制，恶意网页上的javascript脚本就可以在用户登录银行的时候获取用户名和密码。

2.跨域的影响范围

在浏览器中，<script>、<img>、<iframe>、<link>等标签都可以加载跨域资源，而不受同源限制，

但浏览器会限制脚本中发起的跨域请求。比如，使用 XMLHttpRequest 对象和Fetch发起 HTTP 请求就必须遵守同源策略。

Web 应用程序通过 XMLHttpRequest 对象或Fetch能且只能向同域名的资源发起 HTTP 请求，而不能向任何其它域名发起请求。

不允许跨域访问并非是浏览器限制了发起跨站请求，而是跨站请求可以正常发起，但是返回结果被浏览器拦截了。

最好的例子是CSRF跨站攻击原理，请求是发送到了后端服务器,无论是否设置允许跨域,

有些浏览器不允许从HTTPS跨域访问HTTP，比如Chrome和Firefox，这些浏览器在请求还未发出的时候就会拦截请求,这是特例。

此外父页面js操作不同域的iframe属性时，也会受到跨域限制

nginx admin

以vue框架为例，在nginx.conf中监听80或443端口的server的路由配置设置为：

location ^~ /api { # url如/api/v1.0/user/info等，通过uwsgi转发到django后端项目中处理

include /etc/nginx/uwsgi_params;

uwsgi_pass 127.0.0.1:8077;

include /etc/nginx/mime.types;

}

location ^~ /static { # 后端的资源文件夹为static，前端请求后端项目包内的静态文件

root /root/backend_end_project/static/;

}

location ^~ /admin { # django的后台管理页面通过uwsgi转交给django处理

include /etc/nginx/uwsgi_params;

uwsgi_pass 127.0.0.1:8077;

include /etc/nginx/mime.types;

}

location ^~ /assets { # 前端的资源文件夹为assets，前端请求前端项目包内的静态文件

root /root/front_end_project/dist;

}

location / { # 表示其它路径都交给前端项目根目录下的index.html处理

root /root/front_end_project;

try_files $uri /index.html;

}

nginx密码访问

具体方法及步骤：

1、首先准备两个静态文件。可以是html页面，js文件或者css文件。然后在本地用浏览器打开html页面，以检查页面显示效果。

2、接着将上面两个静态文件放到服务器上的文件下。

3、找到Nginx配置文件nginx.conf，并打开编辑nginx.conf文件。

4、打开nginx.conf文件后，将server虚拟主机配置下的root路径改为步骤2下的文件夹路径（/opt/local），修改完成后保存文件。

5、最后便可以通过服务器域名或者IP加上静态文件名称进行访问了。