3. 中间件鉴权机制概述：常见中间件的鉴权方式与配置入口

在 Docker 部署环境中，中间件鉴权是安全拦截的第一道防线。不同中间件的鉴权机制差异显著，错误的配置或遗漏的认证步骤是导致生产故障的常见原因。本节系统梳理 Nginx、Redis、MySQL、Kafka、RabbitMQ 五种核心中间件的鉴权方式、配置入口及关键参数，为后续故障排查奠定基础。

3.1 鉴权方式对比总览

3.2 各中间件鉴权详解

3.2.1 Nginx：HTTP Basic Auth 与 Token 鉴权

Nginx 本身不提供用户管理，通过 auth_basic 指令配合密码文件实现基础鉴权，或通过 auth_request 模块对接外部认证服务。

# Nginx Basic Auth 配置示例（Docker 挂载）
server {
    listen 80;
    server_name api.example.com;

    location /admin {
        auth_basic "Restricted Area";
        auth_basic_user_file /etc/nginx/.htpasswd;

        proxy_pass http://backend:8080;
    }
}

密码文件生成命令：

# 使用 htpasswd 工具（需安装 apache2-utils）
htpasswd -c /path/to/.htpasswd admin
# 交互式输入密码，或使用 -b 参数直接指定（不推荐）

3.2.2 Redis：密码认证（AUTH）

Redis 鉴权通过 requirepass 指令设置全局密码，客户端连接后需执行 AUTH password 命令。支持通过 ACL 命令实现更细粒度的用户权限控制（Redis 6.0+）。

# redis.conf 配置
requirepass YourStrongPassword123
# 可选：ACL 用户配置
user default on nopass ~* +@all
user readonly on >readonlypass ~* +@read

Docker 环境变量方式：

# docker-compose.yml 片段
services:
  redis:
    image: redis:7-alpine
    command: redis-server --requirepass ${REDIS_PASSWORD}
    environment:
      - REDIS_PASSWORD=YourStrongPassword123

3.2.3 MySQL：用户名/密码 + 权限表

MySQL 鉴权基于 mysql.user 权限表，支持 native password、caching_sha2_password 等插件。Docker 镜像首次启动时通过环境变量初始化 root 密码。

# Docker 运行 MySQL 并设置密码
docker run -d \
  --name mysql \
  -e MYSQL_ROOT_PASSWORD=rootpass \
  -e MYSQL_DATABASE=appdb \
  -e MYSQL_USER=appuser \
  -e MYSQL_PASSWORD=userpass \
  mysql:8.0

创建用户并授权：

CREATE USER 'appuser'@'%' IDENTIFIED BY 'userpass';
GRANT SELECT, INSERT, UPDATE ON appdb.* TO 'appuser'@'%';
FLUSH PRIVILEGES;

3.2.4 Kafka：SASL/PLAIN 与 SSL 鉴权

Kafka 鉴权通过 SASL（Simple Authentication and Security Layer）实现，支持 PLAIN、SCRAM、GSSAPI（Kerberos）等机制。需同时配置 server.properties 和 JAAS 文件。

# server.properties 配置
listeners=SASL_PLAINTEXT://0.0.0.0:9092
advertised.listeners=SASL_PLAINTEXT://kafka:9092
security.inter.broker.protocol=SASL_PLAINTEXT
sasl.mechanism.inter.broker.protocol=PLAIN
sasl.enabled.mechanisms=PLAIN
authorizer.class.name=kafka.security.authorizer.AclAuthorizer
allow.everyone.if.no.acl.found=false

# kafka_server_jaas.conf 文件内容
KafkaServer {
    org.apache.kafka.common.security.plain.PlainLoginModule required
    username="admin"
    password="admin-secret"
    user_admin="admin-secret"
    user_producer="producer-secret"
    user_consumer="consumer-secret";
};

Docker 挂载 JAAS 文件：

# docker-compose.yml 片段
services:
  kafka:
    image: confluentinc/cp-kafka:latest
    environment:
      KAFKA_OPTS: "-Djava.security.auth.login.config=/etc/kafka/kafka_server_jaas.conf"
    volumes:
      - ./kafka_server_jaas.conf:/etc/kafka/kafka_server_jaas.conf

3.2.5 RabbitMQ：用户名/密码 + 虚拟主机权限

RabbitMQ 默认使用 guest/guest 账号，但该账号仅限 localhost 访问。Docker 部署时需创建新用户并设置虚拟主机权限。

# Docker 环境变量方式
docker run -d \
  --name rabbitmq \
  -e RABBITMQ_DEFAULT_USER=admin \
  -e RABBITMQ_DEFAULT_PASS=adminpass \
  -e RABBITMQ_DEFAULT_VHOST=myvhost \
  rabbitmq:3-management

通过管理 API 或 CLI 配置权限：

# 创建用户并授权
rabbitmqctl add_user producer producerpass
rabbitmqctl set_permissions -p myvhost producer ".*" ".*" ".*"
rabbitmqctl set_user_tags producer management

3.3 鉴权流程架构图

下图展示了五种中间件在 Docker 网络中的鉴权交互流程，突出客户端、中间件容器与鉴权配置源的关系。

3.4 鉴权配置故障排查清单

在 Docker 部署环境中，鉴权相关故障通常源于以下配置遗漏或错误。下表列出各中间件的关键检查项：

3.5 鉴权配置与 Docker 部署的集成模式

下图展示 Docker Compose 环境下，如何通过环境变量和配置文件挂载统一管理中间件鉴权，避免配置分散导致的故障。