静态资源通过 jwt 鉴权有什么现成的高性能轮子吗

[edis0n0]

就是某个路径下的资源要判断 jwt 字段subscribed为 1 且 jwt 没过期才能访问，否则返回 403

本来打算用 worker intercept 试试，后来看了下还是直接把 jwt 塞进 cookies 方便，只能用来获取资源的 jwt 不防跨站也没什么安全隐患

静态资源在独立的服务器上

自己写一个的话缓存不好实现，访问量不小，预算给的又少

（现在的做法是登录会员账号后往 cookies 里写固定 key ，nginx 直接两个 if 判断密码对不对，太不安全了，所有用户共用相同 key 很容易有人分享出去）

[malusama]

啥意思. 你们瓶颈都在解析 jwt 上面了?

[edis0n0]

@malusama #1 自己弄的话缓存之类都要自己处理，不能用 nginx 的，会有性能问题

[xuanbg]

这个独立服务器能用 nfs 挂载到本地么？

[netnr]

那改成 auth basic ，可以配置多个账号密码，自带模块支持

[tree2525]

用 Go 语言写过一个 JWT 鉴权的文件下载；但不算高性能

[edis0n0]

@xuanbg #3 那搞*台*独*立的服务器分发的意义是什么，就是主服务器带宽不够

[Envov]

nginx 支持 lua 脚本或者 js 脚本，实现这个功能非常简单
https://github.com/nginx/njs-examples#getting-arbitrary-field-from-jwt-as-a-nginx-variable-http-authorization-jwt