shib_request_use_headers
Директива `shib_request_use_headers` настраивает NGINX так, чтобы он использовал конкретные headers из ответа Shibboleth authorizer для дальнейшей обработки.
Описание
Директива shib_request_use_headers является частью модуля запроса аутентификации Shibboleth для NGINX и позволяет использовать headers, предоставляемые настроенным Shibboleth FastCGI authorizer. Когда эта директива установлена в 'on', NGINX извлекает атрибуты пользователя из Shibboleth response headers и делает их доступными для последующей обработки в ходе обработки запроса. Это особенно полезно для передачи информации о пользователе в backend applications или для использования в условных конфигурациях внутри NGINX. Эффективность этой директивы зависит от правильной настройки как сервера NGINX, так и Shibboleth FastCGI authorizer, поскольку headers должны быть явно установлены в ответе authorizer.
На практике директива позволяет создавать динамичные и персонализированные пользовательские сценарии, делая определённые утверждения об идентичности пользователя (например, email или roles) доступными в течение всего NGINX request cycle. Параметры директивы просты: она принимает флаговый аргумент, который может включать или отключать эту возможность. Такая гибкость позволяет администраторам активировать или деактивировать использование headers в зависимости от конкретной конфигурации, потребностей приложения или требований безопасности. При обработке атрибутов пользователя из headers следует соблюдать осторожность, чтобы избежать уязвимостей, связанных с подделкой заголовков, особенно если headers используются для принятия решений по контролю доступа.
Пример конфига
http {
server {
location /protected {
shib_request_use_headers on;
shib_request /shibboleth-auth;
}
}
}Убедитесь, что заголовки, отправляемые авторизатором Shibboleth, корректно определены и заполнены; в противном случае они не будут доступны в NGINX.
Проверьте ответ авторизатора Shibboleth, чтобы убедиться, что ожидаемые заголовки присутствуют.
Несоответствие между ключами заголовков, ожидаемыми в NGINX, и теми, которые отправляет служба Shibboleth, может привести к неопределённому поведению.