jwt_authn_filter添加的自定义头无法在VirtualService路由中生效

核心原因 #

是的，Istio的路由匹配（基于VirtualService）确实发生在你通过EnvoyFilter配置的jwt_authn_filter执行之前。当请求进入Ingress Gateway时，Istio会先根据VirtualService的规则完成路由匹配决策，之后才会执行后续的HTTP过滤器（包括你的JWT认证和自定义头添加逻辑）。这就导致VirtualService尝试匹配x-custom头时，该头还未被添加，因此触发route_not_found的404错误；而手动添加该头时，请求进入时就带有这个头，路由匹配自然能正常生效。

替代方案 #

方案1：直接基于JWT Claim做路由匹配（推荐） #

Istio原生支持通过JWT中的Claim直接进行路由匹配，无需先将Claim转为自定义请求头。你可以在VirtualService的match条件中使用request.auth.claims[<claim_name>]来直接引用JWT里的Claim值，完全避开过滤器顺序问题。

示例配置：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: your-service-vs
spec:
  hosts:
    - your-domain.com
  http:
    # 匹配JWT中custom_claim为"value1"的请求
    - match:
        - headers:
            request.auth.claims[custom_claim]:
              exact: "value1"
      route:
        - destination:
            host: service-a.default.svc.cluster.local
    # 匹配JWT中custom_claim为"value2"的请求
    - match:
        - headers:
            request.auth.claims[custom_claim]:
              exact: "value2"
      route:
        - destination:
            host: service-b.default.svc.cluster.local

这种方式无需额外的EnvoyFilter配置，依赖Istio原生的认证集成，逻辑更简洁可靠。

方案2：调整过滤器执行顺序（复杂场景可选） #

如果你必须依赖自定义头进行路由，可以通过EnvoyFilter修改过滤器链的执行顺序，让jwt_authn_filter在路由匹配之前执行。具体来说，需要将jwt_authn_filter插入到Istio默认过滤器链中envoy.filters.http.router之前的位置，确保头添加操作在路由决策完成前生效。

示例EnvoyFilter配置（核心部分）：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: jwt-custom-header
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      istio: ingressgateway
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: GATEWAY
        listener:
          filterChain:
            filter:
              name: "envoy.filters.http.connection_manager"
              subFilter:
                name: "envoy.filters.http.router"
      patch:
        operation: INSERT_BEFORE
        value:
          name: "envoy.filters.http.jwt_authn"
          typed_config:
            "@type": "type.googleapis.com/envoy.extensions.filters.http.jwt_authn.v3.JwtAuthentication"
            # 你的JWT认证配置，包括添加自定义头的逻辑
            rules:
              - match:
                  prefix: "/your-path"
                requires:
                  provider_name: "your-jwt-provider"
                output_payload_to_header:
                  header_name: "x-custom"
                  claim: "custom_claim"

注意：这种方式需要对Istio的过滤器链结构有较深入的了解，维护成本较高，仅在无法使用方案1的复杂场景下考虑。

内容的提问来源于stack exchange，提问作者Louis Mackie