企业官网建设流程全解析

Qwen3-32B开源模型实操：Clawdbot网关层添加JWT鉴权与审计日志

1. 为什么要在Clawdbot网关加这俩东西？

你可能已经把Qwen3-32B跑起来了，Ollama拉起模型、Clawdbot接上API、页面也能聊——但只要它暴露在内网甚至（不小心）连到外网，就等于把一把没锁的钥匙放在办公桌上。

JWT鉴权不是“多此一举”，而是划清边界：谁可以调用？能调哪些接口？权限有没有时效？没有它，任何知道/v1/chat/completions地址的人，都能白嫖你的32B大模型算力，甚至批量刷请求拖垮服务。

审计日志也不是“留个备份”那么简单。当某天发现API调用量突增300%，或者某条敏感提示词被反复提交，你得立刻翻出记录：是哪个IP？什么时间？用了哪个用户Token？请求了什么内容？响应耗时多少？没有结构化日志，排查就是盲人摸象。

这篇文章不讲JWT原理或日志轮转策略，只聚焦一件事：在Clawdbot当前代理架构下，不动Ollama、不改前端、不碰模型本身，纯在网关层补上这两块关键能力，并确保它真正可用、可查、可运维。

2. 当前架构到底长什么样？

先理清现状，才能知道在哪“动刀”。你现在的链路不是直连，而是一条带“中转站”的路径：

Clawdbot前端 → Clawdbot后端（8080端口） → 内部反向代理 → Ollama（18789端口）

注意三个关键事实：

• Clawdbot后端监听的是8080，这是它默认HTTP服务端口；
• Ollama实际运行在18789，且只对内网开放（不暴露给公网）；
• 中间那个“内部反向代理”，就是你加功能的最佳位置——它既能看到所有进出流量，又不侵入业务逻辑。

这个代理不是Nginx配置文件里几行proxy_pass就完事的。它得理解OpenAI兼容API的结构：识别/v1/chat/completions这类路径，提取Authorization: Bearer xxx头，还要在转发前后埋点记录。否则，鉴权和日志都成空谈。

3. 网关层JWT鉴权实战：三步落地

我们不用重写代理，而是基于现有Go/Node.js/Python代理脚本增强。这里以主流的Go语言代理为例（其他语言逻辑一致），直接给出可运行的核心逻辑。

3.1 提取并验证Token

别急着用第三方库验签。先做最基础也最关键的一步：从请求头里捞出Token，并确认它没过期、格式正确。

func extractAndValidateToken(r *http.Request) (string, error) { authHeader := r.Header.Get("Authorization") if authHeader == "" { return "", errors.New("missing Authorization header") } // 格式必须是 "Bearer <token>" parts := strings.Fields(authHeader) if len(parts) != 2 || parts[0] != "Bearer" { return "", errors.New("invalid Authorization header format") } tokenStr := parts[1] // 解析JWT头部和载荷（不验签，只看exp） partsJwt := strings.Split(tokenStr, ".") if len(partsJwt) != 3 { return "", errors.New("invalid JWT format") } payloadBytes, err := base64.RawURLEncoding.DecodeString(partsJwt[1]) if err != nil { return "", errors.New("failed to decode JWT payload") } var payload map[string]interface{} if err := json.Unmarshal(payloadBytes, &payload); err != nil { return "", errors.New("failed to parse JWT payload") } if exp, ok := payload["exp"].(float64); ok { if int64(exp) < time.Now().Unix() { return "", errors.New("token expired") } } return tokenStr, nil }

这段代码干了三件事：检查头是否存在、校验Bearer前缀、解析JWT载荷里的exp字段。它不依赖私钥，不联网查黑名单，轻量且可靠——足够挡住90%的无效请求。

3.2 拦截非授权路径

不是所有接口都需要鉴权。比如/health、/docs这类管理端点，应该放行；而所有/v1/开头的模型调用路径，必须卡住。

func shouldAuth(path string) bool { // 放行健康检查和静态资源 if path == "/health" || strings.HasPrefix(path, "/static/") { return false } // 所有/v1/下的API强制鉴权 if strings.HasPrefix(path, "/v1/") { return true } return false } func authMiddleware(next http.Handler) http.Handler { return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) { if shouldAuth(r.URL.Path) { _, err := extractAndValidateToken(r) if err != nil { http.Error(w, "Unauthorized: "+err.Error(), http.StatusUnauthorized) return } } next.ServeHTTP(w, r) }) }

这样设计的好处是：未来加新接口时，只要路径符合规则，鉴权自动生效，无需改中间件。

3.3 透传用户身份到Ollama

Ollama原生不认JWT，但你可以把用户标识“塞”进转发请求里，方便后续审计或限流。

// 在代理转发前，把解析出的用户ID加到请求头 func addUserIdHeader(r *http.Request, userID string) { r.Header.Set("X-User-ID", userID) // 可选：加原始Token哈希，避免日志泄露明文 r.Header.Set("X-Token-Hash", fmt.Sprintf("%x", md5.Sum([]byte(userID+"|"+r.Header.Get("Authorization"))))) }

这个X-User-ID头会随请求一起发给Ollama，虽然Ollama不处理它，但你的审计日志可以把它和响应一起记下来，形成完整行为链。

4. 审计日志怎么记才真有用？

日志不是记下来就完事，而是要能快速定位问题。我们不记全量Body（太占空间、有隐私风险），而是抓五个黄金字段：

4.1 结构化日志输出

用JSON格式写日志，而不是拼字符串。这样Kibana、Grafana、甚至jq都能直接解析：

type AuditLog struct { Timestamp time.Time `json:"timestamp"` ClientIP string `json:"client_ip"` UserID string `json:"user_id"` Path string `json:"path"` Method string `json:"method"` DurationMs int64 `json:"duration_ms"` StatusCode int `json:"status_code"` } func logAudit(r *http.Request, userID string, duration time.Duration, statusCode int) { clientIP := getClientIP(r) logEntry := AuditLog{ Timestamp: time.Now().UTC(), ClientIP: clientIP, UserID: userID, Path: r.URL.Path, Method: r.Method, DurationMs: duration.Milliseconds(), StatusCode: statusCode, } data, _ := json.Marshal(logEntry) fmt.Println(string(data)) // 实际应写入文件或日志系统 }

4.2 关键字段提取技巧

• client_ip不能直接读r.RemoteAddr，那是代理IP。要检查X-Forwarded-For头，并取第一个非内网地址：

  func getClientIP(r *http.Request) string { forwarded := r.Header.Get("X-Forwarded-For") if forwarded != "" { ips := strings.Split(forwarded, ",") for _, ip := range ips { ip = strings.TrimSpace(ip) if !strings.HasPrefix(ip, "10.") && !strings.HasPrefix(ip, "172.16.") && !strings.HasPrefix(ip, "192.168.") { return ip } } } return r.RemoteAddr }

• user_id从JWT载荷里取sub或user_id字段，而不是用整个Token——既保护隐私，又便于聚合统计。

5. 部署验证：三步确认它真工作了

写完代码不等于搞定。必须亲手验证每一步是否生效。

5.1 鉴权验证：用curl模拟真实场景

# 1. 无Token访问，应返回401 curl -X POST http://localhost:8080/v1/chat/completions \ -H "Content-Type: application/json" \ -d '{"model":"qwen3:32b","messages":[{"role":"user","content":"hi"}]}' # 2. 带过期Token，应返回401 + expired提示 curl -X POST http://localhost:8080/v1/chat/completions \ -H "Authorization: Bearer ey..." \ -H "Content-Type: application/json" \ -d '{"model":"qwen3:32b","messages":[{"role":"user","content":"hi"}]}' # 3. 带有效Token，应正常返回模型响应 curl -X POST http://localhost:8080/v1/chat/completions \ -H "Authorization: Bearer ey..." \ -H "Content-Type: application/json" \ -d '{"model":"qwen3:32b","messages":[{"role":"user","content":"hi"}]}'

5.2 日志验证：实时盯屏看输出

启动代理时加上日志输出，然后发起一次合法请求：

# 启动代理（假设叫clawdbot-gateway） ./clawdbot-gateway --port=8080 --ollama-url=http://localhost:18789 # 在另一个终端实时查看日志 tail -f gateway.log | jq '.' # 如果用JSON日志，jq能高亮显示

你会看到类似这样的输出：

{ "timestamp": "2026-01-28T02:21:55.156Z", "client_ip": "192.168.5.23", "user_id": "usr_abc123", "path": "/v1/chat/completions", "method": "POST", "duration_ms": 1247, "status_code": 200 }

如果没看到，说明中间件没挂载，或路径判断逻辑有误。

5.3 压测验证：看它扛不扛得住

用hey工具模拟并发，确认加了鉴权和日志后，性能没断崖下跌：

hey -n 100 -c 10 -m POST -H "Authorization: Bearer ey..." \ -H "Content-Type: application/json" \ -d '{"model":"qwen3:32b","messages":[{"role":"user","content":"test"}]}' \ http://localhost:8080/v1/chat/completions

重点关注Average response time是否稳定在±100ms内。如果飙升，说明JWT解析或日志IO成了瓶颈，需异步写日志或缓存验签结果。

6. 总结：安全不是功能，而是呼吸节奏

加JWT和审计日志，不是给系统贴一张“已加固”的标签，而是让整个AI服务具备基本的生存能力：

• JWT鉴权让你能回答：“谁在用？”——没有它，你永远不知道是同事在调试，还是扫描器在探测；
• 审计日志让你能回答：“发生了什么？”——没有它，告警响了你也只能重启服务，治标不治本。

这两项改动，总共不到200行代码，不碰模型、不改前端、不影响用户体验，却把Clawdbot从“能跑”升级为“可控、可溯、可管”。

下一步你可以自然延伸：把X-User-ID传给Ollama，在模型层做细粒度限流；把审计日志接入ELK，设置“单小时调用超500次”自动告警；甚至把JWT签发集成到企业SSO——但所有这些，都建立在今天你亲手补上的这两块地基之上。

获取更多AI镜像

想探索更多AI镜像和应用场景？访问 CSDN星图镜像广场，提供丰富的预置镜像，覆盖大模型推理、图像生成、视频生成、模型微调等多个领域，支持一键部署。