Istio中x-forwarded-client-cert的subject字段非空条件咨询

以下是Istio环境下，X-Forwarded-Client-Cert头部中Subject行非空的核心条件：

• 客户端使用带明确Subject字段的自定义证书：Istio自动生成的SPIFFE证书（如服务网格内部sidecar间的mTLS证书）仅包含SPIFFE URI和Issuer信息，不会填充Subject字段。只有当客户端使用自行签发、包含Subject（如CN、O等属性）的X.509证书时，Istio才会提取该字段并写入头部。

• 请求经Istio入口网关进入且完成客户端证书认证：当外部客户端直接向Istio入口网关发起请求并提供客户端证书时，网关会验证证书并将其中的Subject字段解析后添加到X-Forwarded-Client-Cert中。而网格内部sidecar之间的通信，默认使用无Subject的自动生成SPIFFE证书，因此Subject行为空。

• 未通过自定义配置禁用Subject提取：默认情况下Istio会自动提取客户端证书的Subject，但如果通过EnvoyFilter等自定义配置修改了Envoy的证书处理逻辑，可能会导致Subject字段不被填充，需确保相关配置未屏蔽该行为。

你提到已获取SPIFFE的By和URI但Subject为空，这完全符合网格内部自动生成证书的行为——这类证书仅用于服务身份标识，不包含传统X.509证书的Subject字段。你的推测方向是正确的：非自动生成的自定义证书、或通过外部入口网关的客户端认证场景，才会触发Subject字段的填充。

内容的提问来源于stack exchange，提问作者Digant C Kasundra