За reverse-proxy

​

Дайте Veriqa собственное имя хоста

​

Пути

​

WebSocket

​

NGINX

# контекст http
map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

server {
    listen 443 ssl;
    http2 on;
    server_name auth.your-domain.com;

    ssl_certificate     /etc/nginx/certs/server.crt;
    ssl_certificate_key /etc/nginx/certs/server.key;

    # Запросы входа несут cookie; при дефолтных 8k на более длинный заголовок прокси отвечает 400
    large_client_header_buffers 4 32k;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_http_version 1.1;

        proxy_set_header Host              $host;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;

        # WebSocket страницы входа
        proxy_set_header Upgrade    $http_upgrade;
        proxy_set_header Connection $connection_upgrade;

        proxy_read_timeout 300s;
    }
}

location ~ ^/(\.well-known|connect|auth|hubs|api/transaction|api/channels|_content)/ {
    # те же директивы proxy_*, что выше
}

​

Под префиксом пути

# Путь передаётся как есть: Veriqa получает /auth/veriqa/connect/token
location /auth/veriqa/ {
    proxy_pass http://127.0.0.1:8080;
    # те же директивы proxy_*, что выше
}

# Префикс срезается: Veriqa получает /connect/token
location /auth/veriqa/ {
    proxy_pass http://127.0.0.1:8080/;
    # те же директивы proxy_*, что выше
}

location = /.well-known/oauth-authorization-server/auth/veriqa {
    proxy_pass http://127.0.0.1:8080/auth/veriqa/.well-known/oauth-authorization-server;
    proxy_set_header Host              $host;
    proxy_set_header X-Forwarded-Proto $scheme;
}

• Префикс, с которого начинается путь самой Veriqa, — /auth, /api, /connect, /hubs, /_content, /health или путь hop-ссылок (/r по умолчанию, Veriqa:HopMode:HopPath) — работает, только когда прокси передаёт путь как есть. За срезающим прокси такой префикс отвечает 404. /auth/veriqa к ним не относится.
• Запросы, приходящие к инстансу напрямую, идут без префикса — health-проба запрашивает http://127.0.0.1:8080/health/live. Отличить такой запрос от запроса, срезанного прокси, Veriqa не может и обслуживает оба, поэтому закрыть корень инстанса снаружи — дело прокси.
• Несколько инстансов. Прокси должен держать браузер на одном инстансе (привязка сессии, ip_hash в NGINX): без неё хаб страницы входа не подключается. У Email-канала своё ограничение — оговорка про multi-instance в настройке каналов, Email. От префикса не зависит ни то, ни другое.
• Под префиксом проверены: вход по Email в обоих режимах с его входящим вебхуком, вебхук мессенджера (режим Webhook), запрос номера телефона, подтверждение адреса почты кодом или письмом от пользователя при доборе claims, выдача токенов и userinfo, форма добора недостающего поля профиля и транзакция подтверждения, созданная вашим сервером. Часть про мессенджеры проверялась только на MAX и Telegram.

​

Другие прокси

​

Проверка

• https://auth.your-domain.com/.well-known/openid-configuration возвращает https-URL на вашем имени хоста. http-URL или invalid_request значат, что прокси не доверен — self-hosted, шаг 6.
• На странице входа вкладка сети в браузере показывает /hubs/auth с ответом 101 Switching Protocols.
• Request Header Or Cookie Too Large — поднимите large_client_header_buffers.