Choreo中无安全API的x-jwt-header请求头问题咨询

直接结论 #

• 关闭API安全机制后x-jwt-header消失，确实代表API已处于无安全状态——这个请求头是Choreo安全组件在鉴权流程中自动注入的，安全开关关闭后，鉴权环节被跳过，自然不会生成并注入该头。
• 无安全API中，除安全组件自动生成的注入头外，其他自定义请求头都会被完整保留。

具体解释 #

1. x-jwt-header消失的原因
   当Choreo API安全机制开启时，请求会先经过平台的JWT鉴权步骤，鉴权通过后，平台会将解析后的JWT相关数据封装成x-jwt-header注入到请求中，再转发给你的Ballerina服务。一旦关闭安全机制，这个鉴权和注入流程直接跳过，你的服务自然接收不到这个请求头。

2. 无安全API的请求头处理逻辑
   无安全状态下，Choreo仅做基础的请求转发，不会随意修改请求头：

• 你手动在请求中携带的自定义头（比如x-user-info），会原封不动传递到你的Ballerina服务；
• 只有x-jwt-header这类由安全模块生成的“平台专属注入头”，会因安全机制关闭而不再出现。

3. 验证无安全状态的实操方法
   你可以修改Ballerina代码，返回所有请求头来验证：

import ballerina/http;

service / on new http:Listener(8080) {
    resource function get checkHeaders() returns http:Response {
        http:Response resp = new;
        resp.payload = "所有请求头: " + req.headers.toString();
        return resp;
    }
}

发送一个带自定义头的测试请求（比如curl -H "x-custom-test: hello" https://你的ChoreoAPI地址/checkHeaders），返回结果里能看到x-custom-test，但看不到x-jwt-header，就说明API已处于无安全状态。

内容的提问来源于stack exchange，提问作者Thenusan Santhirakumar