Istio中如何将特定路径流量从Sidecar的JWT校验中排除？

可行，但仅通过AuthPolicy忽略路径不足以达到目的——因为RequestAuthentication（RequestAuth）是绑定到工作负载的认证规则，默认会对所有进入该工作负载的请求执行JWT解码与校验，和AuthPolicy的授权逻辑是独立的。要实现特定路径跳过JWT校验，需要从修改RequestAuth的匹配范围或通过EnvoyFilter拦截校验逻辑入手，以下是具体方案：

方案1：精准配置RequestAuth的匹配路径 #

这是最符合Istio原生设计的方案，直接缩小RequestAuth的生效范围，只对需要校验的路径生效，其余路径自动跳过JWT处理。

修改你的RequestAuth资源，添加spec.match字段指定需要校验的路径：

apiVersion: security.istio.io/v1beta1
kind: RequestAuthentication
metadata:
  name: jwt-auth
  namespace: your-namespace
spec:
  selector:
    matchLabels:
      app: your-app  # 匹配你的工作负载标签
  match:
    - uri:
        prefix: "/api/"  # 仅对/api/开头的路径执行JWT校验
    - uri:
        exact: "/admin"  # 也可以指定精确匹配的路径
  jwtRules:
    - issuer: "your-issuer"
      jwksUri: "your-jwks-uri"

这样配置后，Sidecar只会对/api/前缀和/admin路径的请求做JWT解码校验，其他路径不会触发该流程。

方案2：用EnvoyFilter强制跳过指定路径的JWT校验 #

如果无法修改现有RequestAuth（比如需要保留全局匹配，但部分路径例外），可以通过EnvoyFilter注入Lua脚本，在JWT校验前拦截请求，对目标路径跳过校验。

创建如下EnvoyFilter资源：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: skip-jwt-for-specific-paths
  namespace: your-namespace
spec:
  workloadSelector:
    labels:
      app: your-app  # 目标工作负载标签
  configPatches:
    - applyTo: HTTP_FILTER
      match:
        context: SIDECAR_INBOUND
        listener:
          portNumber: 8080  # 工作负载的监听端口
          filterChain:
            filter:
              name: "envoy.filters.http.jwt_authn"
      patch:
        operation: INSERT_BEFORE
        value:
          name: "envoy.filters.http.lua"
          typed_config:
            "@type": "type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua"
            inlineCode: |
              function envoy_on_request(request_handle)
                local path = request_handle:headers():get(":path")
                -- 定义需要跳过JWT校验的路径规则
                if string.find(path, "^/public/") or path == "/healthz" or path == "/metrics" then
                  request_handle:streamInfo():dynamicMetadata():set("envoy.filters.http.jwt_authn", "disable", true)
                end
              end

该脚本会在JWT校验过滤器之前执行，识别到匹配路径后，通过设置元数据让JWT过滤器跳过当前请求的校验流程。

验证配置有效性 #

1. 发送请求到目标排除路径（比如/public/hello），即使携带无效的Authorization头，也不会被Sidecar拒绝。
2. 查看Sidecar日志（kubectl logs <pod-name> -c istio-proxy），确认排除路径的请求没有JWT校验相关的报错或日志输出。
3. 用istioctl proxy-config filter <pod-name> -n <namespace>检查过滤器配置，确认Lua过滤器已成功注入。

内容的提问来源于stack exchange，提问作者Sergio Teixeira