能否在 Nginx 流前面实现 OIDC 和 OpenResty?

我想知道是否可以在 NGINX 流配置中使用 OpenResty OIDC 模块作为身份验证代理。

（很遗憾，我无法使用 NGINX Plus）

过去我使用 NGINX 配置流配置来代理上游 TCP 资源，而它工作得很好。

我当前正在尝试在各种资源，包括静态 HTML 和动态应用程序前实现 OIDC 代理，因为我们有一个内部的 OIDC IDAM 提供程序。我发现了 OpenResty，尤其是 lua-resty-oidc 模块，并且在一些精彩的指南的帮助下（ https://medium.com/@technospace/nginx-as-an-openid-connect-rp-with-wso2-identity-server-part-1-b9a63f9bef0a ，https://developers.redhat.com/blog/2018/10/08/configuring-nginx-keycloak-oauth-oidc/ ），我非常快地为静态页面使用 HTTP 服务器 nginx 配置使其工作。

但是，我无法在流配置中使其工作。似乎流模块作为 OpenResty 的标准功能已被启用，但是从挖掘中发现，在流上下文中不允许“access_by_lua_block”函数。

这可能根本不受支持，当乞讨其他人的优秀工作时，这很公平，但我想知道是否有意在 OpenResty/lua-resty-oidc 中包含支持，或者是否有谁知道一个好的解决方法。

这是我尝试让它工作的天真尝试，但服务器在运行时抱怨“access_by_lua_block”命令。

2019/08/22 08:20:44 [emerg] 1#1: “access_by_lua_block” directive is not allowed here in /usr/local/openresty/nginx/conf/nginx.conf:49
nginx: [emerg] “access_by_lua_block” directive is not allowed here in /usr/local/openresty/nginx/conf/nginx.conf:49

events {
  worker_connections 1024;
}

stream {

  lua_package_path "/usr/local/openresty/?.lua;;";

  resolver 168.63.129.16;

  lua_ssl_trusted_certificate /etc/ssl/certs/ca-certificates.crt;
  lua_ssl_verify_depth 5;

  # cache for discovery metadata documents
  lua_shared_dict discovery 1m;
  # cache for JWKs
  lua_shared_dict jwks 1m;

  upstream geyser {

    server geyser-api.com:3838;

  }

  server {

    listen 443 ssl;

    ssl_certificate /usr/local/openresty/nginx/ssl/nginx.crt;
    ssl_certificate_key /usr/local/openresty/nginx/ssl/nginx.key;

    access_by_lua_block {

        local opts = {
           redirect_uri_path = "/redirect_uri",
           discovery = "https://oidc.provider/discovery",
           client_id = "XXXXXXXXXXX",
           client_secret = "XXXXXXXXXXX",
           ssl_verify = "no",
           scope = "openid",
           redirect_uri_scheme = "https",
        }

        local res, err = require("resty.openidc").authenticate(opts)

        if err then
          ngx.status = 500
          ngx.say(err)
          ngx.exit(ngx.HTTP_INTERNAL_SERVER_ERROR)
        end

        ngx.req.set_header("X-USER", res.id_token.sub)
    }

    proxy_pass geyser;

  }
}

有建议吗？