如何在Nginx Ingress Controller中丢弃X-Forwarded-*请求头？

核心思路 #

所有请求均来自NLB，完全可以清除客户端传入的所有X-Forwarded-*请求头，再由Ingress Controller基于NLB的连接信息生成正确的转发头，既满足后端应用对X-Forwarded-Host的依赖，又避免恶意请求头导致的错误重定向问题。

具体配置方法 #

1. 全局配置（作用于所有Ingress资源） #

修改Nginx Ingress Controller的ConfigMap，添加以下配置项：

apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-ingress-controller
  namespace: ingress-nginx # 根据你的实际命名空间调整
data:
  use-forwarded-headers: "true"
  proxy-real-ip-cidr: "NLB_IP_CIDR" # 替换为你的NLB实际IP/网段，比如10.1.0.0/24
  enable-real-ip: "true"
  proxy-add-x-forwarded-for: "false"
  # 清除客户端传入的所有X-Forwarded-*头
  http-snippet: |
    map $http_x_forwarded_host $clean_x_forwarded_host {
      "" "";
      default "";
    }
    map $http_x_forwarded_for $clean_x_forwarded_for {
      "" "";
      default "";
    }
    map $http_x_forwarded_proto $clean_x_forwarded_proto {
      "" "";
      default "";
    }
  server-snippet: |
    proxy_set_header X-Forwarded-Host $clean_x_forwarded_host;
    proxy_set_header X-Forwarded-For $clean_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $clean_x_forwarded_proto;
  # 生成后端应用需要的正确X-Forwarded-Host
  location-snippet: |
    proxy_set_header X-Forwarded-Host $host;

2. 单个Ingress资源配置（仅针对特定应用） #

如果不需要全局修改，可在目标Ingress的annotations中添加配置：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: your-app-ingress
  annotations:
    nginx.ingress.kubernetes.io/server-snippet: |
      proxy_set_header X-Forwarded-Host "";
      proxy_set_header X-Forwarded-For "";
      proxy_set_header X-Forwarded-Proto "";
    nginx.ingress.kubernetes.io/location-snippet: |
      proxy_set_header X-Forwarded-Host $host;

关键说明 #

• 之前设置use-forwarded-headers: "false"无效的原因：该参数仅控制Ingress是否信任客户端传入的X-Forwarded-*头，不会主动清除这些头，反而会原样转发给后端应用。
• 必须指定proxy-real-ip-cidr：让Ingress Controller仅信任NLB的IP来源，确保生成的转发头基于NLB的真实连接信息，避免客户端伪造。
• 先清除再生成：通过server-snippet清空所有客户端带来的X-Forwarded-*头，再用location-snippet生成后端需要的正确X-Forwarded-Host，兼顾应用依赖和安全性。

内容的提问来源于stack exchange，提问作者z0o0p