IIS 后面的 HTTP 服务器：传递身份验证标头

Question

我有一个配置了 Windows 身份验证和 URL 重写的 IIS 实例，因此它基本上充当反向代理。我的后端服务器（在 Linux 上运行）需要一个 REMOTE_USER 标头。是否可以配置 IIS 将有关经过身份验证的用户的信息传递到后端服务器？

Answer 1

如果 IIS 配置为 Windows Auth，则 ARR 将提出质询，并且仅在用户通过身份验证后转发请求。

可以使用重写规则中的 HTTP 命名约定和 serverVariables 元素通过请求转发自定义标头。例如，在以下示例中，服务器变量 LOCAL_ADDR 作为名为 X-MY-HEADER 的标头进行转发。

<rule name="Reverse Proxy to MySite" stopProcessing="true">
   <match url="^MySite/(.*)" />
   <serverVariables>
      <set name="HTTP_X_MY_HEADER" value="{LOCAL_ADDR}" />
    </serverVariables>
    <action type="Rewrite" url="http://www.myothersite.com/{R:1}" />
</rule>

不幸的是，无法使用此技术转发 REMOTE_USER 标头。这是因为当存在 Authorization 标头时，请求会在身份验证模块运行之前转发，因此不会设置身份验证服务器变量（当映射到标头时，它们只是空白）。

不过，您可以将 IIS 设置为使用基本 Windows 身份验证，然后从 Linux 服务器上的 Base64 编码的授权标头中提取用户名。

Answer 2

我也遇到过类似的问题，我想我应该提到我是如何设法解决这个问题的。我已经安装了 Helicon ISAPI-Rewrite 3 Lite，它是一个 ISAPI 请求过滤器。由于它在管道中的身份验证阶段之后运行，因此它可以访问 REMOTE_USER 变量，并且可以重写请求，以便使用 REMOTE_USER 添加新的 HTTP 标头，如下所示它的价值。当然，只有当您对后端服务器有一定的控制权时，这才有用，这样您就可以使用此自定义标头的值而不是原始的 REMOTE_USER 变量。

ISAPI-Rewrite 的全局配置文件 (httpd.conf) 中所需的代码片段如下：

RewriteBase /
RewriteCond %{REQUEST_URI} ^/MySite.*
RewriteHeader X-Remote-User: .* %{REMOTE_USER}

RewriteCond 部分将此规则限制为以 /MySite;请随意根据需要进行调整。