Nginx Ingress外部认证：如何返回认证服务的原始错误信息

我有一个nginx ingress，它可正常对微服务的入站请求进行认证。以下是Ingress的定义：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: external-auth
  labels:
    name: external-auth
  annotations:
    nginx.ingress.kubernetes.io/auth-url: "http://auth-svc.default.svc.cluster.local:8000/auth"
spec:
  ingressClassName: nginx
  rules:
  - 
    http:
      paths:
      - path: "/"
        pathType: Prefix
        backend:
          service:
            name: microservice1
            port: 
              number: 8000

出于某些原因，我需要查看认证服务返回的错误信息，而非Nginx默认的未授权HTML页面：

<html>
<head><title>401 Authorization Required</title></head>
<body>
<center><h1>401 Authorization Required</h1></center>
<hr><center>nginx</center>
</body>
</html>

我在官方文档中了解到已有传递请求头等方法，但我想知道如何不借助请求头，让Ingress直接返回认证服务的原始错误响应体。

要让Nginx Ingress直接返回认证服务的原始错误响应体，添加两个关键Ingress注解即可：

1. nginx.ingress.kubernetes.io/auth-response-headers：指定从认证服务传递到客户端的响应头，确保响应体格式能被正确解析
2. nginx.ingress.kubernetes.io/auth-signin：设置为空字符串，禁用默认错误页面，让Nginx直接转发认证服务的响应

修改后的Ingress配置：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: external-auth
  labels:
    name: external-auth
  annotations:
    nginx.ingress.kubernetes.io/auth-url: "http://auth-svc.default.svc.cluster.local:8000/auth"
    # 传递认证服务返回的所有响应头，也可指定具体头如 Content-Type, Content-Length
    nginx.ingress.kubernetes.io/auth-response-headers: "*"
    # 禁用默认错误页面，直接返回认证服务的原始响应
    nginx.ingress.kubernetes.io/auth-signin: ""
spec:
  ingressClassName: nginx
  rules:
  - 
    http:
      paths:
      - path: "/"
        pathType: Prefix
        backend:
          service:
            name: microservice1
            port: 
              number: 8000

关键说明 #

• auth-response-headers: "*"会将认证服务返回的所有响应头传递给客户端，保证自定义错误体（比如JSON、文本格式）能被客户端正确识别；如果只需要特定头，可列出具体名称，用逗号分隔。
• auth-signin: ""会告诉Nginx，当认证服务返回4xx/5xx状态码时，不跳转默认错误页面，直接将认证服务的响应原封不动返回给请求方。

配置完成后，客户端就能直接收到认证服务返回的原始错误信息，而非Nginx默认的401页面。

内容的提问来源于stack exchange，提问作者Davood