Traefik 2配置forward auth返回404问题及正确配置方法

返回404是三个配置错误叠加导致的：

• 路由未绑定对应服务：你定义了api、auth两个路由器，也配置了两个服务对应的8000端口，但两个路由器都没指定关联的服务。Traefik对未显式绑定服务的路由器，会自动创建同名默认服务，默认转发到容器80端口，和你实际的8000服务端口不匹配，请求找不到对应资源自然返回404。
• 标签位置错误：所有Traefik标签都写在了deploy配置段下，这段配置只有用Docker Swarm执行docker stack deploy部署时才会生效。如果你是用普通docker compose up启动，Traefik根本读不到这些路由规则，所有入口点请求都没有匹配的路由，直接返回404。
• 架构冗余隐患：当前鉴权链路是「请求→中间件→Traefik自身7000端口→auth入口点路由匹配→转发到API容器」，多了一层Traefik自转发，后续如果误给auth入口点也挂上auth中间件，会触发无限鉴权死循环。

最小改动方案（保留现有auth入口点设计） #

1. 普通docker compose部署的话，把api服务的labels从deploy段下移到服务根级；Swarm部署可保留原有位置。
2. 给两个路由器补上服务绑定标签，修正后的api服务标签部分如下：

api:
  image: api
  # 非Swarm部署直接把labels放在这里
  labels:
    - traefik.enable=true
    # 业务API路由
    - traefik.http.routers.api.entrypoints=websecure
    - traefik.http.routers.api.rule=Host(`api.example.org`)
    - traefik.http.routers.api.service=api
    - traefik.http.services.api.loadbalancer.server.port=8000
    # 鉴权路由
    - traefik.http.routers.auth.entrypoints=auth
    - traefik.http.routers.auth.rule=PathPrefix(`/auth`)
    - traefik.http.routers.auth.service=auth
    - traefik.http.services.auth.loadbalancer.server.port=8000

3. 确认静态配置里的auth入口点没有挂载auth中间件，避免递归鉴权，你当前的静态配置这部分不需要改动。

推荐方案（简化链路，生产可用） #

删掉多余的auth入口点，让forwardAuth中间件直接通过Docker内网转发到API容器的鉴权接口，少一层转发的同时彻底避免入口点递归风险：

1. 修改Traefik静态配置，删除auth入口点配置，把forwardAuth地址改成Docker内网服务地址：

[entryPoints]
  [entryPoints.web]
    address = ":80"
    [entryPoints.web.http]
      middlewares = ["auth"]
  [entryPoints.websecure]
    address = ":443"
    [entryPoints.websecure.http]
      middlewares = ["auth"]
    [entryPoints.websecure.http.tls]

[http.middlewares]
  [http.middlewares.auth.forwardAuth]
    address = "http://api:8000/auth"

2. 删掉docker-compose里的7000端口映射、所有auth路由相关标签，补上api路由的服务绑定：

version: '3.8'
services:
  proxy:
    image: traefik:2.8
    ports:
      - 80:80
      - 443:443
    # 必须和api服务接入同一个自定义Docker网络，否则无法通过服务名解析
  api:
    image: api
    labels:
      - traefik.enable=true
      - traefik.http.routers.api.entrypoints=websecure
      - traefik.http.routers.api.rule=Host(`api.example.org`)
      - traefik.http.routers.api.service=api
      - traefik.http.services.api.loadbalancer.server.port=8000

注意：默认bridge网络不支持Docker内置DNS解析，必须新建自定义网络把两个服务加进去，服务名转发才能正常工作。

改完配置重启服务，查看Traefik日志确认路由已正常注册，再发起测试请求即可。如果仍有异常，开启Traefik的debug日志可以看到完整的路由匹配和转发链路，快速定位问题。

内容的提问来源于stack exchange，提问作者Steffen