EnvoyFilter的jwt_authn配置问题：无法传递JWT载荷及填充DynamicMetadata

我一眼就发现你的EnvoyFilter配置里藏着一个关键错误——typed_config的类型选错了，这直接导致整个jwt_authn过滤器没正确初始化，自然就不会填充metadata或者转发请求头了。

核心错误点 #

你当前配置里的@type用的是type.googleapis.com/envoy.config.filter.http.jwt_authn.v2alpha.JwtProvider，但实际上，整个jwt_authn过滤器的顶层配置应该是JwtAuthentication类型，JwtProvider只是其中providers字段下的子配置。

修正后的完整配置 #

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: jwt-filter
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      app: app1
  configPatches:
  - applyTo: HTTP_FILTER
    match:
      context: SIDECAR_INBOUND
      listener:
        portNumber: 3000
      filterChain:
        filter:
          name: "envoy.http_connection_manager"
          subFilter:
            name: "envoy.router"
    patch:
      operation: INSERT_BEFORE
      value:
        name: envoy.filters.http.jwt_authn
        typed_config:
          "@type": "type.googleapis.com/envoy.config.filter.http.jwt_authn.v2alpha.JwtAuthentication"
          providers:
            authority_jwks:
              issuer: "testing@secure.istio.io"
              remote_jwks:
                http_uri:
                  uri: "https://raw.githubusercontent.com/istio/istio/master/security/tools/jwt/samples/jwks.json"
                timeout: 5s
                cache_duration: 3600s
          rules:
            - match:
                prefix: "/"
              requires:
                provider_name: "authority_jwks"
          forward: true
          payload_in_metadata: "jwt-metadata"
          forward_payload_header: "jwt-header"

额外需要注意的细节 #

• 新增rules配置：jwt_authn必须明确规则来指定哪些请求需要做JWT验证，不然过滤器不会触发验证逻辑，也就不会生成metadata或转发头。这里我配置了匹配所有路径的规则，你可以根据实际业务调整范围。
• 确认工作负载标签：确保你的app1工作负载确实带有app: app1的标签，否则EnvoyFilter不会被注入到对应的sidecar中。
• 端口匹配校验：确认portNumber: 3000是你的应用实际监听的端口，Istio的sidecar inbound是针对应用端口生效的，端口不匹配的话过滤器也不会起作用。

验证预期效果 #

修正后，你应该能看到：

1. 应用收到的请求头中包含jwt-header，其值是解码后的JWT Payload JSON字符串（注意不是加密的JWT本身，forward_payload_header的作用就是转发解码后的载荷）。
2. 如果用Lua过滤器获取DynamicMetadata，可以通过metadata:get("filter_metadata", "envoy.filters.http.jwt_authn", "jwt-metadata")拿到对应的Payload数据（路径是filter_metadata下的envoy.filters.http.jwt_authn命名空间，再加上你指定的jwt-metadata键）。

内容的提问来源于stack exchange，提问作者user14242404