Istio AuthorizationPolicy如何基于JWT数组字段配置访问规则？

要实现JWT的authorities数组包含AUTH1时允许访问，你需要调整AuthorizationPolicy的匹配规则写法，Istio对数组类型的claims匹配有特定语法：

正确的配置示例 #

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: jwt-array-authz
  namespace: your-namespace
spec:
  selector:
    matchLabels:
      app: your-app # 替换为你的服务标签
  action: ALLOW
  rules:
  - from:
    - source:
        requestPrincipals: ["*"] # 允许所有已通过JWT认证的请求
    to:
    - operation:
        methods: ["GET", "POST"] # 按需调整HTTP方法
    when:
    - key: request.auth.claims[authorities]
      operator: in
      values: ["AUTH1"]

关键说明 #

• 当JWT中的authorities是数组类型时，直接使用request.auth.claims[authorities]作为匹配key即可，不需要加[*]索引。
• 操作符使用in，表示检查数组中是否包含values列表中的任意一个元素（这里是AUTH1）。
• 如果需要匹配多个元素（比如同时包含AUTH1和AUTH2），可以用and组合多个匹配条件，或者根据需求调整操作符（比如not in用于排除特定权限）。

常见错误排查 #

• 不要使用request.auth.claims[authorities][*]这种写法，Istio的表达式语法不支持直接遍历数组索引来匹配。
• 确保JWT令牌确实包含authorities数组字段，且字段名称大小写与配置一致（Istio对claim名称大小写敏感）。
• 验证JWT认证已正确配置，确保请求能正常通过JWT校验，否则授权规则不会生效。

内容的提问来源于stack exchange，提问作者Marc06210