[讨论]: 如何保护部署在公网的SearXNG？

[IzualYang]

Issue 检查清单

• 我理解 Issue 是用于反馈和解决问题的，而非吐槽评论区，将尽可能提供更多信息帮助问题解决。
• 我确认自己需要的是提出问题并且讨论问题，而不是 Bug 反馈或需求建议。

平台

Windows

版本

v1.1.2

您的问题

有没有全局的登录或密钥限制？
我现在的做法是在VPS的nginx反代上限制了UA需要带上CherryStudio字样，也就变成了仅供CherryStudio调用。
但是这方法也太土了（不过这也提醒了我，如果CherryStudio提供了自定义UA，并且在其中插入随机生成的字符串作为唯一标识的话，也未尝不是一种土密钥）

相关背景

No response

补充信息

优先级

低 (有空再看)

[FischLu]

设置 DIY APIkey, 再代理上检查后翻译成模型供应商的 APIkey

[IzualYang]

设置 DIY APIkey, 再代理上检查后翻译成模型供应商的 APIkey

能否指出官方文档中对应配置的位置，谢谢

[GeorgeDong32]

能否指出官方文档中对应配置的位置，谢谢

可以参考网上一些ollama的DIY APIKey的方式，比如在nginx指定网址添加鉴权的方式

[breakstring]

能否指出官方文档中对应配置的位置，谢谢

可以参考网上一些ollama的DIY APIKey的方式，比如在nginx指定网址添加鉴权的方式

他说的应该是在 Cherry Studio 中如何指定 UA 或者 API Key 之类的？
在反代的层面通过这些控制倒是好弄，但是不知道在 Cherry Studio 里如何设置吧。

[breakstring]

https://docs.searxng.org/src/searx.botdetection.html#searx.botdetection.http_user_agent.USER_AGENT
https://docs.searxng.org/admin/searx.limiter.html#limiter-toml

刚看到这两个感觉SearXNG也应该可以通过它自己的配置来设定接受的 UA 的，不过没有找到示意的配置。

[cxw620]

最好还是虚拟内网, searxng 翻了一圈没看到啥鉴权的东西, cherry 也不支持 http 验证好像()

[HowcanoeWang]

参考一下这个文章，在服务器端使用FastAPI进行API_KEY的判断？没试过行不行但感觉思路没问题

https://www.bilibili.com/opus/1039026299152105495

[zeocax]

参考一下这个文章，在服务器端使用FastAPI进行API_KEY的判断？没试过行不行但感觉思路没问题

https://www.bilibili.com/opus/1039026299152105495

这个看起来也需要Cherry Studio在Searxng中增加http header的选项。

可能只有api_key塞路径里面这种方式了，base_url: searxng.example.com/{api_key}/，然后用nginx验证和重写

（完全不符合安全实践，但是看起来cherry studio这边应该没有时间去加鉴权的feature，所以可以凑合着用一段时间）

[btstream]

最好的方式还是cherry studio增加http header的选项

[cxw620]

最好的方式还是cherry studio增加http header的选项

axios 加个 Basic Auth 就行, 标准做法.

await axios.post(session_url, {}, {
  auth: {
    username: uname,
    password: pass
  }
});