Kubernetes Ingress返回502但Pod日志显示200的排查求助

核心排查方向 #

针对这种「Pod日志返回200但Ingress返回502」的FCGI场景，重点从协议交互、日志细节、响应格式这几个点入手：

1. 深挖Ingress Nginx的FCGI相关日志 #

Pod端显示正常，问题肯定出在Ingress到Pod的FCGI响应解析环节：

• 临时调整Ingress Controller的ConfigMap，把error_log级别改成debug，找有没有upstream sent invalid FastCGI header这类明确的解析错误日志
• 直接过滤Ingress Controller Pod的日志，搜fastcgi关键词，定位具体的异常信息

2. 对比有效/无效登录请求的响应差异 #

有效凭证登录的响应大概率有特殊内容，导致Nginx的FCGI模块无法解析：

• 抓包对比两种请求的响应头：看有效登录是否返回了超长Set-Cookie头、带特殊字符的非标准HTTP头
• 检查有效登录的响应体：有没有NULL字节、非UTF-8编码内容，FCGI对响应格式要求很严，不符合就会直接返回502

3. 补全FCGI必要参数配置 #

当前ConfigMap只设了SCRIPT_FILENAME，缺少关键参数可能导致POST请求解析异常：

• 把常用FCGI参数补到ConfigMap里：

  data:
    SCRIPT_FILENAME: "/home/api/public/index.php"
    REQUEST_METHOD: "$request_method"
    CONTENT_TYPE: "$content_type"
    CONTENT_LENGTH: "$content_length"
    REQUEST_URI: "$request_uri"
    DOCUMENT_URI: "$document_uri"
    DOCUMENT_ROOT: "/home/api/public"
    SERVER_PROTOCOL: "$server_protocol"
    QUERY_STRING: "$query_string"
    REMOTE_ADDR: "$remote_addr"
  

  尤其是CONTENT_LENGTH和CONTENT_TYPE，缺失可能导致Nginx处理POST响应时出错

4. 绕过Ingress直接测试FCGI服务 #

验证是Pod的FCGI响应问题还是Ingress的解析问题：

• 进入Ingress Controller Pod，用cgi-fcgi工具直接请求目标Pod的FCGI端口：

  # 替换成你的Pod IP和FCGI端口
  echo -n "POST /api/login HTTP/1.1
  Host: example.foo
  Content-Type: application/json
  Content-Length: 45
  
  {\"username\":\"valid\",\"password\":\"valid\"}" | cgi-fcgi -bind -connect 10.0.0.10:9000
  

  如果直接请求也异常，说明Pod的FCGI响应不规范；如果正常，就是Ingress的FCGI配置有问题

5. 检查Ingress Nginx版本兼容性 #

部分旧版本的Ingress Nginx FCGI模块有已知bug：

• 查当前Ingress Nginx版本，对比官方已知问题，必要时升级到稳定版（比如v1.9.x及以上）

快速尝试的解决方案 #

• 先补全ConfigMap里的FCGI关键参数，尤其是CONTENT_LENGTH和CONTENT_TYPE
• 简化有效登录返回的Cookie内容，测试是否是超长Cookie导致的解析失败
• 如果Pod支持HTTP协议，临时把Ingress的backend-protocol改成HTTP，验证是否是FCGI协议的问题

内容的提问来源于stack exchange，提问作者fabpico