开发环境下如何进行安全加固呢

由于公司机房和办公环境是在一起的，默认情况下公司出口IP是禁止80/443访问【运营商侧有限制】。目前采用的是阿里云进行中转，即将开发环境的域名解析到阿里云，然后通过Nginx反向代理到公司出口非80端口。开发环境部分接口涉及到第三方回调和校验，所以完全禁止开发环境对外网访问不现实。

目前合理的需求如下：

1. 公司网络地址段可以访问开发环境不受限制
2. 允许部分第三方IP地址段加入白名单
3. 若第三方IP不固定，需支持第三方回调的URL加入白名单
4. 不在上述条件内全部禁止外网访问。

   面对上述简单的需求场景，我们如何实现呢?

   方案一：采用防火墙白名单策略进行实现，目前看只能实现 1 和 2 的条件

   方案二：采用Nginx的allow、deny等策略，目前看也只能实现 1 和 2 的条件

   方案三：采用Nginx+Lua 通过access_by_lua_file策略，目前看能实现上述所有条件而且实现起来比较简单，改造成本较小。

   1. 在Nginx的server层配置：access_by_lua_file ‘scripts/filter_white.lua’
   2. filter_white.lua 脚本配置信息：

      root@develop:/usr/local/nginx/scripts#catfilter_white.lua
      --默认配置
      localredis=require'resty.redis'
      localallow=false
      
      --连接Redis
      localred=redis:new()
      localok,err=red:connect('172.17.173.183',26379)
      ifnotokthen
      ngx.log(ngx.ERR,'connecttoredisfailed:'..err)
      end
      
      localres,err=red:auth('Huajianghu@123')
      ifnotresthen
      ngx.log(ngx.ERR,'failedtoauthenticate:'..err)
      end
      
      --过滤精确IP
      --ifred:sismember('white:dev:ip',ngx.var.remote_addr)==1then
      --allow=true
      --end
      
      --过滤IP地址段
      localiputils=require("resty.iputils")
      iputils.enable_lrucache()
      localwhite_ips=red:smembers('white:dev:ip')
      localwhitelist=iputils.parse_cidrs(white_ips)
      ifiputils.ip_in_cidrs(ngx.var.remote_addr,whitelist)then
      allow=true
      end
      
      --过滤URL
      ifnotallowthen
      localurl=ngx.var.http_host..ngx.var.uri
      localwhite_urls=red:smembers('white:dev:url')
      forindex,white_urlinipairs(white_urls)do
      ifurl:match(white_url)then
      allow=true
      break
      end
      end
      end
      
      --默认策略
      ifnotallowthen
      ngx.log(ngx.ERR,"notallow:"..ngx.var.http_host..ngx.var.uri)
      ngx.status=ngx.HTTP_FORBIDDEN
      ngx.say('请申请白名单')
      ngx.exit(200)
      end
      

      3.此脚本仅供参考使用，特殊场景需要进行修改lua脚本。