如何在Kubernetes Gateway API中添加缺失的预检Allow-Origin头

问题背景 #

已基于GKE外部全局负载均衡创建Gateway资源，并关联HTTPRoute规则，应用客户端请求正常，但浏览器访问时出现Cross-Origin Resource Sharing error: PreflightMissingAllowOriginHeader错误，提示CORS异常。

现有Gateway配置：

kind: Gateway
apiVersion: gateway.networking.k8s.io/v1beta1
metadata:
  name: external-http
  namespace: infra-ns
spec:
  gatewayClassName: gke-l7-global-external-managed
  listeners:
  - name: https
    protocol: HTTPS
    port: 443
    allowedRoutes:
      namespaces:
        from: Selector
        selector:
          matchLabels:
            shared-gateway-access: "true"
    tls:
      mode: Terminate
      options:
        networking.gke.io/pre-shared-certs: ipos-cert
  addresses:
  - type: NamedAddress
    value: "l7lb-external-ip-address"

关联的HTTPRoute示例规则：

rules:
- matches:
  - path:
      value: /api/v1/service  
  backendRefs:
  - name: example-service
    port: 80

解决方案：在HTTPRoute中添加CORS过滤规则 #

GKE的gke-l7-global-external-managed网关类支持通过Kubernetes Gateway API的HTTPFilter配置CORS规则，只需在HTTPRoute的对应规则中添加CORS过滤配置，即可自动处理预检请求并注入所需的跨域响应头。

修改后的HTTPRoute完整示例：

apiVersion: gateway.networking.k8s.io/v1beta1
kind: HTTPRoute
metadata:
  name: example-route
  namespace: # 替换为你的路由命名空间（需带有shared-gateway-access: true标签）
  labels:
    shared-gateway-access: "true"
spec:
  parentRefs:
  - name: external-http
    namespace: infra-ns
  rules:
  - matches:
    - path:
        value: /api/v1/service
    filters:
    - type: Cors
      cors:
        allowOriginList:
        - "https://your-frontend-domain.com" # 替换为允许的前端域名，支持通配符如https://*.your-domain.com
        allowMethods:
        - GET
        - POST
        - OPTIONS
        allowHeaders:
        - Content-Type
        - Authorization
        allowCredentials: true
        maxAge: 86400
    backendRefs:
    - name: example-service
      port: 80

关键配置说明 #

• allowOriginList：指定允许跨域请求的源，可设置具体域名或通配符（如*允许所有，但不建议生产环境使用）
• allowMethods：明确允许的HTTP方法，必须包含OPTIONS以处理预检请求
• allowHeaders：允许客户端发送的请求头，根据实际业务需求添加
• allowCredentials：如果前端请求需要携带Cookie或认证信息，需设为true
• maxAge：预检请求结果的缓存时长，单位为秒，减少重复预检请求次数

验证配置 #

应用修改后的HTTPRoute后，浏览器发起跨域请求时，负载均衡会自动返回Access-Control-Allow-Origin等所需响应头，解决PreflightMissingAllowOriginHeader错误。

内容的提问来源于stack exchange，提问作者Yunus Einsteinium