Kubeflow v1.4.0创建Notebook遇CSRF错误及构建失败求助

1. CSRF错误根源：Kubeflow的Jupyter Web App默认启用Secure Cookies（仅在HTTPS请求中传递），如果你的Kubeflow集群通过HTTP访问（未配置HTTPS ingress），浏览器不会在HTTP请求中携带带Secure标记的Cookie，导致后端无法识别XSRF-TOKEN，触发该错误。
2. Kustomize构建panic原因：Kubeflow的overlay资源依赖base层的结构完整性，直接修改base目录下的deployment.yaml会破坏Kustomize的资源合并逻辑；加上你使用的Kustomize v3.1.0版本较老，对资源字段变更的兼容性处理存在bug，从而引发索引越界panic。
3. 直接apply base资源报错原因：base目录下的deployment.yaml是Kustomize的基础模板，selector字段会在istio overlay层通过Kustomize的补丁或合并规则补充，单独部署base资源必然缺少这个必填字段。

1. 正确注入环境变量（不修改base资源） #

不要直接修改base目录的文件，而是在istio overlay目录中添加补丁文件来注入环境变量：

• 进入目录：cd manifests/apps/jupyter/jupyter-web-app/upstream/overlays/istio
• 创建补丁文件patch-deployment-env.yaml，内容如下：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: jupyter-web-app-deployment
spec:
  template:
    spec:
      containers:
      - name: jupyter-web-app
        env:
        - name: APP_SECURE_COOKIES
          value: "false"

• 修改该目录下的kustomization.yaml，在patchesStrategicMerge字段中添加上述补丁文件（保留原有其他补丁项）：

patchesStrategicMerge:
- patch-deployment-env.yaml
# 原有其他补丁内容

2. 重新构建并应用资源 #

执行以下命令完成资源更新：

kustomize build manifests/apps/jupyter/jupyter-web-app/upstream/overlays/istio | kubectl apply -f -

如果仍触发Kustomize panic，建议升级Kustomize到v3.2.0（该版本修复了部分索引越界bug，且兼容Kubeflow 1.4.0）：

curl -s https://raw.githubusercontent.com/kubernetes-sigs/kustomize/master/hack/install_kustomize.sh | bash -s 3.2.0

3. 验证修复效果 #

重启Jupyter Web App Pod，确保配置生效：

kubectl rollout restart deployment jupyter-web-app-deployment -n kubeflow

等待Pod重启完成后，再次尝试创建Notebook，CSRF错误即可消除。

内容的提问来源于stack exchange，提问作者grace___