Nginx Kubernetes Ingress仅允许GET请求的配置问题求助

问题背景 #

需通过Nginx Ingress Controller暴露Elasticsearch服务，仅允许GET请求供前端调用。尝试两种配置均存在问题：

1. 使用CORS相关注解未生效，非GET请求仍能访问服务；
2. 使用nginx.ingress.kubernetes.io/server-snippet添加规则后，非GET请求返回403，但所有GET请求出现404错误。

错误原因分析 #

1. CORS注解不具备请求方法拦截能力 #

CORS相关注解（enable-cors、cors-allow-methods等）仅用于配置跨域请求的响应头，告知浏览器允许哪些跨域请求方法，但不会拦截服务端实际收到的非GET请求，因此无法实现请求方法限制。

2. server-snippet导致GET请求404的原因 #

server-snippet是在Nginx的server块下添加自定义location规则，会覆盖Ingress自动生成的对应路径的location配置。自定义的location中仅添加了方法判断，缺少转发到Elasticsearch服务的代理规则和重写规则，导致GET请求无法被正确转发，返回404。

正确配置方案 #

方案一：使用configuration-snippet注入规则（推荐） #

configuration-snippet会将规则注入到Ingress自动生成的对应路径的location块内部，继承原有重写、代理配置，仅添加方法限制逻辑，不会破坏原有转发流程。

完整Ingress配置：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-elasticsearch-service
  namespace: my-application-namespace
  annotations:
    cert-manager.io/cluster-issuer: letsencrypt-prod
    nginx.ingress.kubernetes.io/rewrite-target: /$1
    nginx.ingress.kubernetes.io/enable-cors: "true"
    nginx.ingress.kubernetes.io/cors-allow-methods: "GET"
    nginx.ingress.kubernetes.io/cors-allow-origin: "https://my-host.com"
    # 在自动生成的location内添加请求方法限制
    nginx.ingress.kubernetes.io/configuration-snippet: |
      if ($request_method != GET) {
        return 403;
      }
spec:
  tls:
  - hosts:
    - my-host.com
    secretName: my-ingress-secret
  rules:
  - host: my-host.com
    http:
      paths:
      - path: /elasticsearch/(.+)
        pathType: Prefix
        backend:
          service:
            name: elasticsearch-service
            port:
              number: 9200

方案二：完善server-snippet的自定义location规则 #

如果必须使用server-snippet，需要在自定义location中补充重写和代理规则，确保请求能正确转发到Elasticsearch服务：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress-elasticsearch-service
  namespace: my-application-namespace
  annotations:
    cert-manager.io/cluster-issuer: letsencrypt-prod
    nginx.ingress.kubernetes.io/enable-cors: "true"
    nginx.ingress.kubernetes.io/cors-allow-methods: "GET"
    nginx.ingress.kubernetes.io/cors-allow-origin: "https://my-host.com"
    nginx.ingress.kubernetes.io/server-snippet: |
      location ~* "^/elasticsearch/(.+)" {
        if ($request_method != GET) {
          return 403;
        }
        # 重写路径，匹配原有rewrite-target逻辑
        rewrite ^/elasticsearch/(.+)$ /$1 break;
        # 代理到Elasticsearch服务（需指定完整服务DNS）
        proxy_pass http://elasticsearch-service.my-application-namespace.svc.cluster.local:9200;
        # 传递必要的请求头
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
      }
spec:
  tls:
  - hosts:
    - my-host.com
    secretName: my-ingress-secret
  rules:
  - host: my-host.com
    http:
      paths:
      - path: /elasticsearch/(.+)
        pathType: Prefix
        backend:
          service:
            name: elasticsearch-service
            port:
              number: 9200

验证方法 #

1. 应用配置：kubectl apply -f your-ingress.yaml
2. 测试非GET请求：curl -X POST https://my-host.com/elasticsearch/_cat/indices，应返回403
3. 测试GET请求：curl https://my-host.com/elasticsearch/_cat/indices，应返回正常的Elasticsearch响应

内容的提问来源于stack exchange，提问作者kevP-Sirius