场景导入：你的 n8n 真的“安全”吗？
兄弟们，作为 N8N大学 的老学长，我见过太多人把 n8n 部署在公网后，就以为大功告成了。但你有没有想过：你的 Webhook 就像一个敞开的大门，谁都能进来踢一脚？你的 n8n 面板如果用了弱密码，是不是在裸奔？
别等到数据泄露或者服务器被搞崩了才后悔。今天这篇硬核指南，不讲虚的，直接从 Webhook 防护到访问控制，手把手教你把 n8n 打磨成一座攻不破的堡垒。
核心实操：三步加固你的 n8n
别慌，加固 n8n 不需要你是安全专家，只需要跟着我做这三件事。这三件事分别对应了外部入口、内部认证和网络隔离。
第一步：给 Webhook 上把“密码锁”
Webhook 是 n8n 最常用的触发器，也是最危险的入口。默认情况下，只要知道 URL，谁都能触发你的工作流。
核心操作：
- 打开你的 n8n，进入任意一个使用了 Webhook 节点的工作流。
- 在 Webhook 节点的设置中，找到
Authentication选项。 - 默认是
None，把它改成Header Auth或Query Auth。 - 设置你的自定义
Name（比如X-API-Key）和Value（一串复杂的字符）。
实战技巧： 当你在外部系统（如 Postman 或其他 API）调用这个 Webhook 时，必须在 Header 或 Query 参数里带上你刚才设置的键值对。如果对不上，n8n 直接拒绝请求。这一步能拦住 90% 的扫描脚本。
第二步：搞定基础认证与访问控制
很多人以为 n8n 部署后默认就是安全的，大错特错。如果你没有配置认证，你的工作流逻辑、数据全部暴露在公网。
核心操作：
如果你是通过 Docker 部署的，修改 docker-compose.yml 是最稳妥的。在环境变量（environment）中添加以下配置：
N8N_BASIC_AUTH_ACTIVE=true：开启基础认证。N8N_BASIC_AUTH_USER=你的用户名：不要用 admin 这种弱名字。N8N_BASIC_AUTH_PASSWORD=你的强密码：至少 12 位，包含大小写和符号。
配置完后，重启容器。现在，任何人访问你的 n8n 面板，都必须输入用户名和密码。这一步是防止内部数据被随意查看的底线。
第三步：利用环境变量做网络隔离
如果你的 n8n 只在内网使用，或者只允许特定 IP 访问，千万别把端口直接映射到公网。
核心操作：
在 Docker 部署时，使用 ports 映射要非常小心：
ports:
- "127.0.0.1:5678:5678"注意前面的 127.0.0.1。这意味着只有部署 n8n 的这台机器能访问 5678 端口，外部网络是无法直接访问的。
如果你需要外部访问，请使用 Nginx 或 Caddy 做反向代理，并在代理层配置 SSL（HTTPS）。这样，你的 n8n 流量就是加密的，且可以通过代理的规则限制 IP。
避坑指南：这些细节别忽视
配置安全不是一劳永逸的，有些坑是新手最容易踩的。
坑点 1：忘记配置 HTTPS
如果你的 Webhook 需要接收敏感数据（比如支付回调），请务必使用 HTTPS。n8n 本身支持 HTTPS，但需要在环境变量中配置证书路径（N8N_PROTOCOL=https 等）。更简单的做法是用 Nginx 代理，让 Nginx 处理 SSL，n8n 只负责内网跑。
坑点 2：日志泄露
n8n 的日志可能会包含敏感数据（如 API Key、密码）。默认的日志级别是 info，在生产环境中，建议设置为 warn 或 error，减少敏感信息的输出。在环境变量中添加：EXECUTIONS_DATA_PRUNE_MAX_AGE=168，定期清理执行历史，防止数据库堆积敏感信息。
FAQ 问答：你可能还想问...
Q1: 我开启了 Webhook 验证，但外部系统提示 401 错误怎么办？
A: 检查你的 Header Name 是否完全一致（区分大小写）。如果是 Query Auth，确保参数拼接在 URL 后面。建议先用 Postman 测试通过后再接入生产环境。
Q2: n8n 的默认端口 5678 被扫描了，可以改吗？
A: 当然可以。在 Docker 的 ports 映射中修改即可，例如 - "8080:5678"，这样外部访问就用 8080 端口。但这只是“隐匿”，不是“安全”，核心还是靠认证。
Q3: 我不想用基础认证，想用 OAuth 或 Keycloak，n8n 支持吗？
A: 社区版 n8n 主要支持基础认证。如果你需要企业级的 SSO（单点登录），比如 OAuth2 或 LDAP，通常需要企业版（Enterprise License）。对于个人用户，基础认证 + IP 白名单（在 Nginx 层配置）性价比最高。
总结与资源
安全不是绝对的，而是相对的。对于 n8n 而言，守住 Webhook 入口 和 管理后台认证 这两道门，就能防御绝大多数的自动化攻击。
我是 N8N大学 的主编，希望这篇指南能帮你避开我踩过的坑。如果你在配置中遇到具体报错，欢迎在社区留言，我们下期见。
