如何配置我的Web服务器以使用PluggableAuthService的Domain Auth插件？

Question

我正在尝试使用Domain Auth插件根据用户的IP地址为网站访问者分配会员角色.

我可以配置插件OK,但是我发现所有的请求都来自localhost,而不是"真正的"IP地址.

在这种情况下,我正在使用NGINX,所以我尝试通过proxy_set_header(例如http://wiki.nginx.org/HttpProxyModule)将X-Real-IP设置为$ remote_addr ,但据我所知,只是使IP成为IP标题中可用的地址.

如何将从NGINX发送到Plone的请求似乎来自远程IP地址？

我正在使用NGINX,但我也很乐意接受适用于Apache的答案.

Answer 1

Domain Auth Plugin使用该request.getClientAddr()方法确定客户端的IP地址,该客户端又使用REMOTE_ADDR变量和X-FORWARDED-FOR标头.

通常情况下,您不能依赖X-FORWARDED-FOR标题,因为几乎任何人都可以设置标题.但是您可以将Zope配置为信任来自给定的一组可信代理的头.使用可信代理列表,REMOTE_ADDRIP地址将替换为X-FORWARDED-FOR标头中给出的下一个地址,直到您用完信任的地址.找到的最后一个IP地址是新的客户端地址.这允许您链接一组代理,并且仍然能够信任您获得正确的客户端地址以基于您的角色.

要将Zope配置为信任代理的X-FORWARDED-FOR标头,请trusted-proxy在zope.conf文件中设置配置参数.如果您的nginx服务器在同一主机上运行,​​只需将其设置为localhost:

trusted-proxy 127.0.0.1

您可以通过添加多个条目来指定多个名称:

trusted-proxy 127.0.0.1
trusted-proxy loadbalancer.localnet

trusted-proxy 同时获取IP地址和主机名.