自托管部署 Pocket ID 与 Tinyauth 完全指南

Dejavu's Blog

甲骨文 ARM 实例部署 Gemma 4 模型 Headscale + Tailscale 组建虚拟专用网在 Linux 上使用 Yubikey OpenPGP 应用 BuyVM VPS 块存储挂载教程 Alpine Linux 服务器配置指南 Alpine Linux 安装 Cloudflared Docker 多容器共享中心数据库安装 Komari 服务器监控工具 Scaleway VPS 安装 Debian Linux Debian 13 下部署 AsmBB 论坛使用 Kopia 自动化备份服务器数据给 Docker 启用 IPv6 支持 Netcup 服务器安装自定义 ISO 镜像烽火 HG5582A 光猫开启桥接模式 Docker 自托管 Shlink 短链服务部署 Obsidian LiveSync 实时同步服务指南我的 2025 年不完全回顾 Linux 下 Intel 核显驱动配置与硬件加速 Fedora Linux 安装配置记录 2025 年优雅地自托管 RSS 服务 Woodpecker CI 和 Gitea 实现 Hugo 自动部署 Gitea/Forgejo 集成 Woodpecker CI/CD 在 Blinko 中使用 Ollama 作为 AI 供应商 Docker 部署 Gitea/Forgejo Plausible CE 启用城市级地理位置识别 Blinko 开源 AI 知识库 Docker 部署指南 Netcup 免税账号注册及购买服务器全记录 Docker 自托管 Cloudreve Pro 私有网盘服务 GiffGaff SIM 卡使用体验和注意事项简体中文互联网在变得糟糕吗？

Dejavu Moe · 2025-12-08 · via Dejavu's Blog

前言

自托管的服务多起来以后，我面临的一个问题是如何在安全性和便利性间进行平衡。为了安全设计，现在大部分密码管理器默认无法自动填充，需要在密码库解锁后，用户再手动点一下确认选择密码登录。

2025 年快要结束了，现在主流桌面设备和移动设备都支持了 Passkeys 通行密钥，并且能到达「好用」的程度。这是一个很安全的现代登录方案，核心理念是「可信任硬件，而非密码」。此外，手头还有几个 Yubikey，我正好也能用上。

Pocket ID + Tinyauth 这套轻量方案，可以把我们的所有自托管服务保护起来，还可以通过设置 Pocket ID 用户和用户组权限，甚至能够满足一些小型组织的按权限登录认证流程。

这套方案适合谁？

拥有很多自托管服务的个人爱好者
需要一个身份验证安全件的 HomeLab
私有托管架构的小型组织或企业

Pocket ID

Pocket ID 是一个简单的 OIDC 提供程序，支持且仅允许 用户使用 Passkeys 进行身份验证，这意味着使用它在支持自定义 OIDC 供应商的应用中，可以完全无密码登录。

对于不支持自定义 OIDC 单点登录的应用，我们可以使用 Tinyauth 作为身份验证中间件，来调用 Pocket ID 验证。

Tinyauth

Tinyauth 是一个简单的 身份验证中间件，支持目前所有的主流代理服务器，比如 Nginx、Caddy 以及 Traefik。可以通过 Google、GitHub、LDAP、Pocket ID……作为提供商，为服务或入口添加易于使用的现代身份验证界面。

特别注意：

不能将 Tinyauth 或 Pocket ID 部署在根域名下，比如 https://your.domain。但两者必须是同一个主域名，且使用不同的子域名，才能让 Cookie 正确传递。

为了便于理解（但不一定准确），我画了一副简单的身份验证图：

防止概念混淆，需要再次声明一下，无论是 Pocket ID 还是 Tinyauth 都是可以独立使用的，两者并非是完全绑定的选择。

本文中我们将使用 Docker 部署这两个应用，并通过 两个典型示例 来帮助我们了解这个过程：

在支持 OIDC 的应用中直接使用 Pocket ID 作为供应商
使用 Tinyauth 在 Nginx 虚拟主机中设置中间件认证

Docker 部署 Pocket ID

新建 Compose 模板：

services:
  pocket-id:
    image: ghcr.io/pocket-id/pocket-id:v2
    restart: unless-stopped
    env_file: .env
    ports:
      - 127.0.0.1:1411:1411
    volumes:
      - "./data:/app/data"
    healthcheck:
      test: [ "CMD", "/app/pocket-id", "healthcheck" ]
      interval: 1m30s
      timeout: 5s
      retries: 2
      start_period: 10s

编辑环境变量文件 .env

APP_URL=https://pocketid.your.domain

# Generate with: openssl rand -base64 32
ENCRYPTION_KEY=

# These variables are optional but recommended to review:
TRUST_PROXY=true
MAXMIND_LICENSE_KEY=
GEOLITE_DB_PATH=data/GeoLite2-City.mmdb
PUID=1000
PGID=1000
LOG_LEVEL=info
LOG_JSON=true
ANALYTICS_DISABLED=true
# After initial registration, set it to disabled or withToken
# and recreate the container. sudo docker compose up -d
ALLOW_USER_SIGNUPS=open

启动服务

sudo docker compose up -d

Nginx 反向代理

Pocket ID 的 Nginx 反向代理配置示例如下（经过测试，请勿添加 CSP 策略的标头，详情见注释）

server {
    listen 80;
    listen [::]:80;
    server_name pocketid.your.domain;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name pocketid.your.domain;

    ssl_certificate /path/to/cert/pocketid.your.domain.pem;
    ssl_certificate_key /path/to/cert/pocketid.your.domain.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ecdh_curve X25519:P-256:P-384;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-CHACHA20-POLY1305:ECDHE+AES128:RSA+AES128:ECDHE+AES256:RSA+AES256';
    ssl_prefer_server_ciphers off;
    ssl_session_timeout 1d;
    ssl_session_cache shared:MozSSL:10m;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    access_log /var/log/nginx/pocketid.your.domain.access.log;
    error_log /var/log/nginx/pocketid.your.domain.error.log;

    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "no-referrer-when-downgrade" always;
    # no need CSP header in nginx, refer to: https://github.com/pocket-id/pocket-id/pull/908 
    proxy_busy_buffers_size 512k;
    proxy_buffers 4 512k;
    proxy_buffer_size 256k;

    location / {
        proxy_pass http://127.0.0.1:1411;
        proxy_set_header Host $http_host;
        proxy_set_header X-Forwarded-For $realip_remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

重载 Nginx 配置

sudo nginx -t
# ok! then
sudo nginx -s reload

注册管理员

访问 https://pocketid.your.domain/setup 进行初始账户注册

注册通行密钥

用户和用户组 [可选]

这是个可选项，但是建议将各种登录方式和用户组分开管理，并对用户进行组授权

设置 SMTP [可选]

建议设置 SMTP 发信配置，通过电子邮件获取一次性登录码以及登录通知和警告等等。

注册 OIDC 客户端

以 Blinko 为例，Blinko 原生支持自定义 OIDC 身份验证，在设置里添加 SSO 登录

复制回调 URL 备用

在 Pocket ID 添加 OIDC 客户端，保存后会获取客户端机密等信息，填入 Blinko 的 SSO 设置里保存即可。

退出当前的 Blinko 账号，测试登录

成功登录

别忘了关联已有的 Blinko 账号

关闭注册

测试完毕，关闭 Pocket ID 的开放注册

Tinyauth 安装配置

Docker 部署 Tinyauth

修改 Compose 模板：

services:
  tinyauth:
    image: ghcr.io/steveiliop56/tinyauth:v4
    container_name: tinyauth
    restart: unless-stopped
    ports:
      - "127.0.0.1:3000:3000"
    environment:
      - APP_URL=https://tinyauth.your.domain
      - USERS=
      - DISABLE_ANALYTICS=true
      - LOG_JSON=true
      - SECURE_COOKIE=true
    volumes:
      - ./data:/data
    healthcheck:
      test: ["CMD", "tinyauth", "healthcheck"]
      interval: 30s
      timeout: 5s
      start_period: 5s
      retries: 3

初始化用户

sudo docker run -i -t --rm ghcr.io/steveiliop56/tinyauth:v4 user create --interactive

在交互式 CLI 中输入用户名、密码、选择 Docker 格式的 Hash 回车

上面的输出示例

2025-12-08T02:44:51Z INF cmd/create.go:85 > Creating user username=UserName
2025-12-08T02:44:51Z INF cmd/create.go:98 > User created user=UserName:$$2a$$10$$mUJp8jg5t0AxIC5jWD/JqOI2NBJAZqJjBNxkXIv.BtubpJU958ovG

将获取到的用户名和密码 Hash 复制到环境变量 USERS 里，然后启动服务

sudo docker compose up -d

Nginx 反向代理

示例 Nginx 反向代理配置

server {
    listen 80;
    listen [::]:80;
    server_name tinyauth.your.domain;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name tinyauth.your.domain;

    ssl_certificate /path/to/cert/tinyauth.your.domain.pem;
    ssl_certificate_key /path/to/cert/tinyauth.your.domain.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ecdh_curve X25519:P-256:P-384;
    ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-CHACHA20-POLY1305:ECDHE+AES128:RSA+AES128:ECDHE+AES256:RSA+AES256';
    ssl_prefer_server_ciphers off;

    ssl_session_timeout 1d;
    ssl_session_cache shared:MozSSL:10m;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    access_log /var/log/nginx/tinyauth.your.domain.access.log;
    error_log /var/log/nginx/tinyauth.your.domain.error.log;

    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "no-referrer-when-downgrade" always;
    add_header Content-Security-Policy "default-src 'self'; img-src 'self' data:; style-src 'self' 'unsafe-inline'; script-src 'self' 'unsafe-eval';" always;

    proxy_set_header Host $http_host;
    proxy_set_header X-Forwarded-For $realip_remote_addr;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
    }
}

重载 Nginx 配置

sudo nginx -t
# ok! then
sudo nginx -s reload

连接 Pocket ID 服务

参考 Tinyauth 文档 的步骤完成与 Pocket ID OAuth 应用的注册，在 Tinyauth 的容器模板里添加环境变量

services:
  tinyauth:
  # ...
  # ...
    environment:
      - PROVIDERS_POCKETID_CLIENT_ID=your-pocket-id-client-id
      - PROVIDERS_POCKETID_CLIENT_SECRET=your-pocket-id-client-secret
      - PROVIDERS_POCKETID_AUTH_URL=https://pocketid.your.domain/authorize
      - PROVIDERS_POCKETID_TOKEN_URL=https://pocketid.your.domain/api/oidc/token
      - PROVIDERS_POCKETID_USER_INFO_URL=https://pocketid.your.domain/api/oidc/userinfo
      - PROVIDERS_POCKETID_REDIRECT_URL=https://tinyauth.example.com/api/oauth/callback/pocketid
      - PROVIDERS_POCKETID_SCOPES=openid email profile groups
      - PROVIDERS_POCKETID_NAME=Pocket ID

现在就可以享受用 Pocket ID 登录 Tinyauth 的身份验证服务了。

联合身份验证

对于不支持自定义 OIDC 客户端的应用，可以通过 Tinyauth 作为中间件的验证方式，来调用 Pocket ID 作为登录方式。

这里是个在Nginx 反向代理的背景下，使用 Tinyauth + Pocket ID 保护 Uptime Kuma 仪表盘路由的示例。

简化的 Uptime Kuma 的原始 Nginx 反向代理配置文件，看起来像这样

server {
    # ...
    # Reverse Proxy Configuration Start
    # ...
    location / {
        proxy_pass http://127.0.0.1:13000/;
    # ...
    # Reverse Proxy Configuration End
    # ...

    }
}

对于想完全保护访问的应用，直接 / 根路由交给 Tinyauth 鉴权即可。

假如我们只想保护 Uptime Kuma 后台仪表盘 /dashboard，而不影响状态页面。使用 Tinyauth 作为 / 根路由的中间件似乎不太合适，那么只需添加 Tinyauth 的中间件验证片段。

server {
    # ...
    # Reverse Proxy Configuration Start
    # ...
    location /dashboard {
    proxy_pass http://127.0.0.1:13000/dashboard;
        auth_request /tinyauth;
        error_page 401 = @tinyauth_login;
    }
    location /tinyauth {
        proxy_pass http://127.0.0.1:3000/api/auth/nginx;
        proxy_set_header x-forwarded-proto $scheme;
        proxy_set_header x-forwarded-host $http_host;
        proxy_set_header x-forwarded-uri $request_uri;
}

    location @tinyauth_login {
        return 302 https://auth.via.moe/login?redirect_uri=$scheme://$http_host$request_uri;
}
    location / {
        proxy_pass http://127.0.0.1:3001/;
    # ...
    # Reverse Proxy Configuration End
    # ...
    }
}

完成后，检查并重载 Nginx 配置

sudo nginx -t 
sudo nginx -s reload

测试登录：

现在访问你的应用仪表盘，应当会被重定向到 Tinyauth 要求验证

完成，请享受吧~

参考资料

此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。原文来自 — 版权归原作者所有。

推荐订阅源

Dejavu's Blog

前言

Pocket ID

Tinyauth

Docker 部署 Pocket ID

Nginx 反向代理

注册管理员

注册通行密钥

用户和用户组 [可选]

设置 SMTP [可选]

注册 OIDC 客户端

关闭注册

Tinyauth 安装配置

Docker 部署 Tinyauth

Nginx 反向代理

连接 Pocket ID 服务

联合身份验证

参考资料