需求问题
公司渗透测试扫描发现了一个未授权访问文件的问题，即外网可以通过文件地址直接访问文件服务器中文件，无需任何认证，造成公司敏感数据泄露。
问题分析
当前获取文件的流程如下
我们的文件地址形如：http://x.x.x.x:5001/filefolder/folder1/folder2/aaa.doc(x.x.x.x是应用服务器IP)
1）请求地址到应用服务器。
2）应用服务器再通过nginx转发到文件服务器（y.y.y.y）,获取到对应文件。
3）获取到文件后直接返回，如果是返回前端，即可做图片预览，文件下载，视频播放等功能。此外中台应用功能，如发送邮件时，也是直接调用的文件地址获取附件。
该地址是在应用服务器通过nginx直接转发到文件服务器的，没有经过应用系统鉴权，好处就是获取文件无需暂用应用服务器带宽，速度较快。但也产生了未授权访问的问题。
解决方案
方案1
应用服务器增加接口，所有文件都从该接口转发到文件服务器获取，并以文件流的方式返回。该方式需占用大量带宽，且前后台所有请求文件服务器的代码都需调整，后考虑使用方案二。
方案2
方案2是基于该篇文章(https://www.cnblogs.com/JQ04/p/15905762.html)调整的。
1）请求的文件地址保持不变，先跳转至应用服务器的nginx
2）转换请求路径。因为后续要请求后端进行鉴权，而http://x.x.x.x:5001/filefolder/folder1/folder2/aaa.doc的请求方式不满足后端接口形式，因此跳转前将该请求转换成了get请求入参的方式：http://x.x.x.x:5001/filefolder?addr=/folder1/folder2/aaa.doc。
3）应用服务器nginx再路由至应用做鉴权，鉴权通过后重定向会nginx服务器配置的静态资源路径。
4）再由应用服务器跳转至文件服务器获取文件。
流程如下：
具体实现
应用服务器nginx配置
server{
listen 5001;
# 文件路径前缀
location /filefolder{
# 此步骤是经文件路径转换成get请求带入参的格式。
proxy_pass http:x.x.x.x:5001/ftpFile?addr=;
}
# 鉴权前缀
location /ftpFile{
proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
# 指定提供文件鉴权服务的地址
proxy_pass http://x.x.x.x:5002/servername/ftpFile;
}
# 静态资源前缀
location /filefolder_static/{
internal;
proxy_pass http://y.y.y.y:5123/filefolder/; #代理的静态文件目录
}
}
中台鉴权
中台鉴权代码参考文章：https://www.cnblogs.com/JQ04/p/15905762.html
与该文章不同点：
1）前端请求文件地址时，带有cookie，通过cookie进行鉴权
2）中台请求文件地址时，无cookie，因此在鉴权接口上增加了authkey字段，要求中台传文件地址时制定传一个key。中台请求格式如下：
http://x.x.x.x:5001/filefolder/folder1/folder2/aaa.doc&authKey=xxxxxxxx
该路径经过nginx转换参数变为
http://x.x.x.x:5001/filefolder?addr=folder1/folder2/aaa.doc&authKey=xxxxxxxx
在鉴权接口中判断authKey正确后，即为鉴权通过。