HAProxy基于User-Agent的ACL规则失效，CSP头无法按需添加求助

核心问题定位 #

你的HAProxy ACL规则未正确匹配iPhone的User-Agent，导致unless iosUA条件始终为真，所有请求都被添加了CSP头。

具体修复步骤 #

1. 修正ACL匹配规则 #

HAProxy 1.8版本中，req.fhdr用于获取多值请求头的第一个值，但User-Agent通常是单值头，改用req.hdr更稳妥；同时添加-i参数忽略大小写（避免User-Agent大小写差异导致匹配失败）：

frontend fe_prod
    bind :10083
    mode http
    capture request header User-Agent len 256
    # 修改后的ACL规则
    acl iosUA req.hdr(User-Agent) -i -m sub iphone
    http-response add-header Content-Security-Policy "frame-ancestors 'self' file://* filesystem:;" unless iosUA
    use_backend be_dev

2. 验证ACL是否生效 #

添加测试响应头确认ACL匹配逻辑：

frontend fe_prod
    # ... 其他配置 ...
    # 匹配iPhone时添加测试头
    http-request set-header X-IOS-Client "1" if iosUA

用iPhone设备请求后查看响应头：

• 若存在X-IOS-Client: 1：说明ACL匹配成功，此时CSP头不会被添加
• 若不存在：继续下一步排查

3. 检查配置文件合法性 #

执行命令验证配置是否有语法错误：

haproxy -c -f /path/to/your/haproxy.cfg

如有错误，根据提示修正后重启HAProxy。

4. 备选方案：将CSP规则移至Backend #

若Frontend中的http-response指令仍未生效，尝试将规则移至Backend（确保ACL已在Frontend定义）：

backend be_dev
    mode http
    http-response add-header Content-Security-Policy "frame-ancestors 'self' file://* filesystem:;" unless iosUA
    server dev 127.0.0.1:83

额外说明 #

iOS 14.6的Safari实际支持CSP的frame-ancestors指令，若你针对更旧版本的iOS Safari，可调整ACL规则匹配特定版本号，例如：

acl old_ios_safari req.hdr(User-Agent) -i -m reg "iPhone OS [0-9]+\.[0-9]+(?<!14\.6)"

内容的提问来源于stack exchange，提问作者Dominique Corfa