GKE集群中Basic认证经HTTPS反向代理curl可用浏览器失效排查

针对你遇到的浏览器访问Basic Auth保护服务失败、但curl正常的问题，核心原因大概率是浏览器安全策略与HTTPS转HTTP的架构不兼容，具体排查点如下：

• 混合内容拦截
  虽然你通过HTTPS访问负载均衡器，但后端遗留应用是HTTP服务。如果应用返回的页面中包含任何HTTP协议的资源（比如<img src="http://xxx">、脚本或样式文件），浏览器会触发混合内容阻止策略，直接拦截这些资源加载，甚至可能中断整个页面的渲染流程，表现为"认证失败"。你可以打开浏览器开发者工具（F12）的Console面板，查看是否有Mixed Content相关的错误提示。

• HSTS与认证凭证缓存冲突
  如果该域名之前被设置过Strict-Transport-Security（HSTS）头，浏览器会强制使用HTTPS访问。但如果后端应用是HTTP服务，可能存在浏览器缓存了旧的HTTP协议下的Basic Auth凭证，而HTTPS环境下浏览器拒绝重用这些凭证的情况。另外，若负载均衡器返回的HSTS头包含includeSubDomains等严格规则，也可能影响凭证的正确发送。

• WWW-Authenticate头适配问题
  后端应用是HTTP服务，返回的WWW-Authenticate头可能没有适配HTTPS场景。部分浏览器对HTTPS下的Basic Auth有更严格的校验：比如头中的realm字段是否包含特殊字符，或者应用是否错误地在头中引用了HTTP协议相关的内容，导致浏览器无法正确解析认证要求。可以用curl查看响应头：curl -I -u user:pass https://your-domain，对比浏览器请求时的响应头（开发者工具Network面板）是否一致。

• 浏览器凭证存储与隐私策略限制
  不同浏览器对Basic Auth凭证的存储有不同规则：

  • 隐私模式下，浏览器会禁用凭证持久化存储，输入的密码无法被正确发送到服务器；
  • 如果负载均衡器的公网域名与后端应用的内部域名不一致，部分浏览器会拒绝跨域发送认证凭证；
  • 部分浏览器会对HTTPS下的Basic Auth要求凭证必须通过安全上下文发送，若后端应用的响应中存在非安全上下文的设置（比如X-Frame-Options配置错误），也会导致认证失败。

• 负载均衡器头转发的细微差异
  虽然curl请求正常，但浏览器发送的请求头比curl更复杂（比如包含Accept-Language、Referer、User-Agent等）。检查GCP负载均衡器是否正确转发了所有请求头，尤其是Authorization头。另外，部分遗留应用可能对Host头有严格校验，负载均衡器转发的Host头是否与应用预期一致？可以在后端Pod中抓包对比curl和浏览器的请求差异。

内容的提问来源于stack exchange，提问作者danidemi