如何为Istio配置基于独立配额的按动态路径本地速率限制

我完全理解你的痛点——Istio本地限流（Local Rate Limiting）不像全局限流那样支持动态descriptor value，默认要求指定静态value，导致带动态ID的路径会共用同一个计数器。要实现每个/1/send、/status/2这类路径独立维护配额，核心是把路径中的动态ID提取出来作为限流descriptor的唯一标识，下面是具体的解决方案：

问题根源分析 #

你之前尝试的几种方法都有局限：

• 用request_headers直接匹配:path时，本地限流要求必须指定value，没法动态用路径值作为descriptor的key；
• 用header_value_match+正则匹配会把所有匹配的路径归为同一个descriptor，导致共用配额；
• 全局限流的descriptor支持空value，但本地限流的机制不同，没法直接复用那套配置。

解决方案：用Lua提取动态ID+动态元数据作为限流key #

我们可以通过Envoy的Lua过滤器提取路径中的动态ID，将其存入请求的动态元数据（Dynamic Metadata），然后在本地限流配置中引用这个元数据作为descriptor的key，这样每个ID就会对应独立的token bucket。

步骤1：添加Lua过滤器提取路径ID #

创建EnvoyFilter来注入Lua脚本，提取路径中的ID并存入动态元数据：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: extract-path-id
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      istio: ingressgateway # 针对入口网关，若给sidecar限流，改成对应workload的label
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: GATEWAY # 给sidecar的话改成SIDECAR_INBOUND
        listener:
          portNumber: 8080
          filterChain:
            filter:
              name: "envoy.filters.network.http_connection_manager"
              subFilter:
                name: "envoy.filters.http.router"
      patch:
        operation: INSERT_BEFORE
        value:
          name: envoy.filters.http.lua
          typed_config:
            "@type": "type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua"
            inline_code: |
              function envoy_on_request(request_handle)
                local path = request_handle:headers():get(":path")
                -- 根据你的路径格式调整正则，这里匹配两种格式：/{id}/send 和 /status/{id}
                local id = string.match(path, "^/(%d+)/send$") or string.match(path, "^/status/(%d+)$")
                if id then
                  -- 将ID存入动态元数据，key为path_id.id
                  request_handle:streamInfo():dynamicMetadata():set("path_id", "id", id)
                end
              end

步骤2：配置本地限流规则 #

再创建一个EnvoyFilter来配置本地限流，使用动态元数据作为限流action的key：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: local-rate-limit-per-path-id
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      istio: ingressgateway
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: GATEWAY
        listener:
          portNumber: 8080
          filterChain:
            filter:
              name: "envoy.filters.network.http_connection_manager"
              subFilter:
                name: "envoy.filters.http.router"
      patch:
        operation: INSERT_BEFORE
        value:
          name: envoy.filters.http.local_ratelimit
          typed_config:
            "@type": "type.googleapis.com/udpa.type.v1.TypedStruct"
            type_url: "type.googleapis.com/envoy.extensions.filters.http.local_ratelimit.v3.LocalRateLimit"
            value:
              stat_prefix: http_local_rate_limiter
              # 默认的全局bucket（未匹配到ID时使用）
              token_bucket:
                max_tokens: 10
                tokens_per_fill: 10
                fill_interval: 60s
              filter_enabled:
                runtime_key: local_rate_limit_enabled
                default_value:
                  numerator: 100
                  denominator: HUNDRED
              filter_enforced:
                runtime_key: local_rate_limit_enforced
                default_value:
                  numerator: 100
                  denominator: HUNDRED
              response_headers_to_add:
                - append: false
                  header:
                    key: x-local-rate-limit
                    value: 'true'
              # 限流规则：同时匹配动态ID和POST方法
              rate_limit_rules:
                - actions:
                    - dynamic_metadata:
                        metadata_key:
                          key: path_id
                        path:
                          - key: id # 引用之前存入的path_id.id元数据
                    - header_value_match:
                        descriptor_value: post
                        headers:
                          - name: :method
                            prefix_match: POST
              # 定义descriptor，每个ID会生成独立的条目
              descriptors:
                - key: path_id.id
                - key: header_match
                  value: post
                  # 每个ID对应的独立配额：10次/分钟
                  rate_limit:
                    token_bucket:
                      max_tokens: 10
                      tokens_per_fill: 10
                      fill_interval: 60s

配置说明 #

• Lua脚本适配：如果你的路径格式不同（比如/api/v1/users/{id}/submit），只需要修改Lua中的正则表达式即可，确保能正确提取出动态ID部分；
• 独立配额：每个不同的ID会对应一个独立的token bucket，比如/1/send和/2/send会各自拥有10次/分钟的配额，互相不会影响；
• 版本要求：建议使用Istio 1.10及以上版本，因为动态元数据（Dynamic Metadata）作为限流action的特性在较新版本中才被支持。

这样配置后，当你向/status/1发送15次请求、向/status/2发送5次请求时，/status/1的前10次通过，后5次被限流；/status/2的5次请求全部通过，完全符合你的需求。

内容的提问来源于stack exchange，提问作者aadhi95