Nginx Ingress代理转发时X-Scope-OrgID头部未传递问题排查

问题 #

在K8s Pod中配置了Nginx Ingress，配置内容如下：

location = /alert-cluster1 {
  proxy_pass http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080/alertmanager;
  proxy_set_header X-Scope-OrgID cluster1;
  proxy_pass_request_headers on;
}

location = /alert-cluster2 {
  proxy_pass http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080/alertmanager;
  proxy_set_header X-Scope-OrgID cluster2;
  proxy_pass_request_headers on;
}

location ~ /alertmanager {
  proxy_pass      http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080$request_uri;
}

需求：

• 访问http://mydns/alert-cluster1时，Nginx重写路径到/alertmanager并设置X-Scope-OrgID为cluster1
• 访问http://mydns/alert-cluster2时，Nginx重写路径到/alertmanager并设置X-Scope-OrgID为cluster2

实际测试发现：用curl访问/alert-cluster1或/alert-cluster2时，请求头部的X-Scope-OrgID未传递到后端，Alertmanager返回“no org id”；但直接带头部访问/alertmanager可正常工作，将头部配置在/alertmanager的location块中也能正常运行，推测重定向过程中丢失了头部，请问遗漏了什么配置？

解答 #

问题核心是proxy_pass路径写法触发的隐式重定向，导致后续请求丢失自定义头部。

当配置proxy_pass http://xxx/alertmanager时，Nginx会将请求代理到后端的/alertmanager，但Alertmanager通常会返回301/302重定向（比如重定向到带尾斜杠的/alertmanager/）。此时客户端会发起新请求到/alertmanager/，这个请求会匹配到你配置的location ~ /alertmanager块，而该块未设置X-Scope-OrgID头部，因此后端返回“no org id”。

以下是两种可行的解决方法：

方法一：用Cookie传递OrgID，覆盖后续请求 #

通过Cookie临时存储OrgID，在/alertmanager块中读取并设置头部，适配前端页面访问场景：

location = /alert-cluster1 {
  # 设置会话级Cookie存储OrgID，仅作用于/alertmanager路径
  add_header Set-Cookie "X-Scope-OrgID=cluster1; Path=/alertmanager; HttpOnly";
  proxy_pass http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080/alertmanager;
  proxy_set_header X-Scope-OrgID cluster1;
  proxy_pass_request_headers on;
}

location = /alert-cluster2 {
  add_header Set-Cookie "X-Scope-OrgID=cluster2; Path=/alertmanager; HttpOnly";
  proxy_pass http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080/alertmanager;
  proxy_set_header X-Scope-OrgID cluster2;
  proxy_pass_request_headers on;
}

location ~ /alertmanager {
  # 从Cookie中读取OrgID并设置请求头部
  proxy_set_header X-Scope-OrgID $cookie_X-Scope-OrgID;
  proxy_pass http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080$request_uri;
}

方法二：避免重定向，直接匹配完整路径 #

修改proxy_pass路径并处理所有相关请求，确保头部全程携带，适合严谨的API访问场景：

location = /alert-cluster1 {
  # 直接代理到带尾斜杠的路径，避免后端触发重定向
  proxy_pass http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080/alertmanager/;
  proxy_set_header X-Scope-OrgID cluster1;
  proxy_pass_request_headers on;
  # 若后端仍返回重定向，修改重定向地址到对应cluster路径
  proxy_redirect http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080/alertmanager/ /alert-cluster1/;
}

location = /alert-cluster2 {
  proxy_pass http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080/alertmanager/;
  proxy_set_header X-Scope-OrgID cluster2;
  proxy_pass_request_headers on;
  proxy_redirect http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080/alertmanager/ /alert-cluster2/;
}

# 处理/alert-cluster1/和/alert-cluster2/的后续子请求
location ~ ^/alert-cluster(1|2)/ {
  # 提取cluster编号并设置头部
  set $orgid cluster$1;
  proxy_set_header X-Scope-OrgID $orgid;
  # 重写路径到/alertmanager开头
  rewrite ^/alert-cluster(1|2)/(.*)$ /alertmanager/$2 break;
  proxy_pass http://cma-cortex-alertmanager.cortex-aggregator.svc.cluster.local:8080;
}

内容的提问来源于stack exchange，提问作者Palma A