Рецепты Nginx: авторизация через auth0

Для приготовления авторизации через auth0 нам понадобится сам nginx и его плагины encrypted-session, headers-more, auth_request, set-misc, echo, json, evaluate и jwt. Можно также воспользоваться готовым образом.

Для начала, получим публичный ключ командой

curl https://our.application.domain.com/pem | openssl x509 -pubkey -noout > pub.key

Теперь, в конфиге зададим

encrypted_session_key "abcdefghijklmnopqrstuvwxyz123456";

Дальше отключаем авторизационный заголовок

more_clear_input_headers Authorization;

Теперь защищаем всё авторизацией

auth_request @auth;
location @auth {
  	# если нет авторизационной куки, то значит пользователь не авторизован
    if ($cookie_auth = "") { return 401 UNAUTHORIZED; }
  	# раскодируем авторизационную куку
    set_decode_base64 $auth_decode $cookie_auth;
  	# если не удалось раскодировать, то значит пользователь не авторизован
    if ($auth_decode = "") { return 401 UNAUTHORIZED; }
  	# расшифровываем авторизационную куку
    set_decrypt_session $auth_decrypt $auth_decode;
  	# если не удалось расшифровать, то значит пользователь не авторизован
    if ($auth_decrypt = "") { return 401 UNAUTHORIZED; }
  	# подменяем авторизацию на basic (чтобы использовать переменную $remote_user)
    more_set_input_headers "Authorization: Basic $auth_decrypt";
    echo -n OK; # пользователь авторизован
}

Для авторизованных пользователей показываем контент из их папки

location / {
    alias html/$remote_user/;
}

А при отсутствии авторизации перенаправляем на auth0

error_page 401 = @error;
location @error {
  	# задаём домен нашего приложения на auth0
    set $domain our.application.domain.com;
  	# задаём и кодируем идентификатор нашего приложения на auth0
    set_escape_uri $client_id_escape YourApplicationClientID;
  	# кодируем исходный запрос
    set_escape_uri $request_uri_escape $request_uri;
  	# задаём и кодируем адрес возврата
    set_escape_uri $redirect_uri_escape https://$host/login?request_uri=$request_uri_escape;
  	# задаём и кодируем тип ответа
    set_escape_uri $response_type_escape code;
  	# задаём и кодируем скоупы
    set_escape_uri $scope_escape "openid profile";
  	# задаём и кодируем состояние
    set_escape_uri $state_escape 0;
  	# перенаправляем клиента на auth0
    return 303 https://$domain/authorize?client_id=$client_id_escape&redirect_uri=$redirect_uri_escape&response_type=$response_type_escape&scope=$scope_escape&state=$state_escape;
}

После успешной авторизации пользователя в auth0, его перенаправляет на адрес возврата

location =/login {
    auth_request off; # не используем авторизацию
    evaluate $grant /grant; # получаем грант
    json_loads $grant_json $grant; # загружаем его
    json_dumps $aud $grant_json aud; # извлекаем идентификатор
  	# если идентификатор не получен, то значит пользователь не авторизован
  	if ($aud = "") { return 401 UNAUTHORIZED; }
    json_dumps $name $grant_json name; # извлекаем имя
  	# задаём случайный пароль для basic авторизации
    set_secure_random_alphanum $password 8;
  	# задаём и кодируем basic авторизацию
    set_encode_base64 $username_password_encode $name:$password;
  	# зашифровываем basic авторизацию на 12 часов (12 * 60 * 60 = 43200)
    set_encrypt_session $auth_encrypt $username_password_encode 43200;
  	# кодируем зашифрованную basic авторизацию
    set_encode_base64 $auth_encode $auth_encrypt;
  	# помещаем зашифрованную basic авторизацию в авторизационную куку на 12 часов
    add_header Set-Cookie "Auth=$auth_encode; Max-Age=43200";
  	# копируем запрос из аргумента
    set $arg_request_uri_or_slash $arg_request_uri;
  	# если аргумент не задан, то начало
    set_if_empty $arg_request_uri_or_slash /;
  	# раскодируем запрос
    set_unescape_uri $request_uri_unescape $arg_request_uri_or_slash;
  	# и перенаправляем на сохранённый запрос
    return 303 $request_uri_unescape;
}
location =/grant {
    internal; # запрос только для внутреннего использования
  	# задаём и кодируем хост
    set_escape_uri $host_escape $host;
  	# запрещаем сжимать ответ
    proxy_set_header Accept-Encoding deflate;
  	# перенаправляем запрос на дополнительный локальный сервер
    proxy_pass http://localhost/grant?request_uri=$arg_request_uri&code=$arg_code&host=$host_escape;
}

Для получения гранта используем дополнительный локальный сервер

server {
    listen localhost; # слушаем локально
    allow 127.0.0.1; # разрешаем только локальные подключения
    deny all; # и запрещаем все остальные
    location =/grant {
        evaluate $token @token; # получаем токен
        json_loads $token_json $token; # загружаем его
        json_dumps $id_token $token_json id_token; # извлекаем идентификационный токен
        auth_jwt $id_token; # задаём его в качестве jwt
        auth_jwt_alg RS256; # задаём тип токена
        auth_jwt_key /path/to/our/pub.key file; # задаём наш публичный ключ
        echo -n $jwt_grant; # отдаём тело токена
    }
    location @token {
  			# задаём домен нашего приложения на auth0
	  	  set $domain our.application.domain.com;
	  		# задаём и кодируем идентификатор нашего приложения на auth0
  	  	set_escape_uri $client_id_escape YourApplicationClientID;
	  		# задаём и кодируем пароль нашего приложения на auth0
  	  	set_escape_uri $client_secret_escape YourApplicationClientSecret;
    		# задаём и кодируем тип авторизации
        set_escape_uri $grant_type_escape authorization_code;
    		# раскодируем хост
        set_unescape_uri $host_unescape $arg_host;
    		# задаём и кодируем адрес возврата
        set_escape_uri $redirect_uri_escape https://$host_unescape/login?request_uri=$arg_request_uri;
				# задаём метод запроса    
        proxy_method POST;
    		# задаём тело запроса
        proxy_set_body client_id=$client_id_escape&code=$arg_code&redirect_uri=$redirect_uri_escape&client_secret=$client_secret_escape&grant_type=$grant_type_escape;
    		# запрещаем сжимать ответ
        proxy_set_header Accept-Encoding deflate;
    		# задаём тип тела запроса
        proxy_set_header Content-Type application/x-www-form-urlencoded;
    		# разрешаем перелавать имя сервера
        proxy_ssl_server_name on;
    		# перенаправляем запрос на auth0
        proxy_pass https://$domain/oauth/token;
  	}
}