Istio使用EnvoyFilter设置响应头的context配置问题咨询

你当前使用的EnvoyFilter配置片段如下：

- applyTo: HTTP_FILTER
    match:
      context: SIDECAR_INBOUND

针对你的三个疑问，逐一说明：

1. 现有配置设置context为SIDECAR_INBOUND的原因 #

SIDECAR_INBOUND 代表该EnvoyFilter规则只会作用在业务Pod旁挂的Sidecar Envoy的入站流量处理链路上：所有发往当前业务Pod的请求到达Sidecar后、转发给同Pod业务容器之前的请求处理流程，以及业务容器处理完请求、返回给Sidecar后、发回给调用方之前的响应处理流程，都会匹配这条规则。
一般配置这个值，都是为了在服务入站侧做治理：比如给调用本服务的请求返回的响应加头、做入站流量鉴权、改写发往本服务的请求参数等，是单服务入站流量治理最常用的context值。

2. 给所有离开集群的请求加指定响应头的context配置选择 #

别直接把context改成SIDECAR_OUTBOUND，必须先对应实际流量路径判断，否则大概率出现规则不生效、覆盖不全的问题：

• 先明确SIDECAR_OUTBOUND的作用范围：这个context对应的是Sidecar处理本地业务容器主动发出去的所有流量的链路，既包含业务发往集群内其他服务的请求，也包含发往集群外地址的请求；对应响应路径上，就是外部/其他服务返回的响应到了Sidecar之后，回传给本地业务容器之前的处理流程。
• 如果你说的「离开集群的请求」是指集群内业务主动调用集群外地址的外发请求，要给这类请求对应的、从外部返回的响应加头，那可以用SIDECAR_OUTBOUND。但要注意如果你们集群开了出口网关统一管控所有外发流量，还得在出口网关上同步加对应规则，不然流量走到网关就直接出集群了，Sidecar上的规则覆盖不到网关侧的处理逻辑。
• 如果你说的「离开集群的请求」是指外部客户端调用集群内服务，最终要返回给外部客户端的响应（也就是响应从集群出去到用户侧），那SIDECAR_OUTBOUND完全不生效：这类响应在业务Sidecar上走的是SIDECAR_INBOUND的响应处理路径，最后一跳还要经过入口网关出集群，要么在SIDECAR_INBOUND侧配规则，要么直接在入口网关上配，才能覆盖到这类流量。
  要全量覆盖所有离开集群的流量加响应头的需求，单配SIDECAR_OUTBOUND肯定不够，得根据你们集群的网关部署模式，同时补全Sidecar侧和出入口网关侧的对应规则。

3. SIDECAR系列取值与Gateway取值的核心区别 #

核心差异就两点：生效的代理实例不一样，管的流量边界不一样：

• 所有SIDECAR_*开头的取值（包括SIDECAR_INBOUND、SIDECAR_OUTBOUND、SIDECAR_BOTH）：规则只会下发给业务Pod启动时自动注入的旁挂Sidecar Envoy，管的是单个业务Pod自己的所有进出流量，既覆盖集群内服务互相调用的东西向流量，也覆盖业务Pod直接收发外部请求的南北向流量，和独立部署的Istio网关没有任何关系，规则不会同步到网关上。
• Gateway相关的取值（GATEWAY）：规则只会下发给集群里独立部署的Istio网关实例（入口网关、出口网关都算），这类网关是独立运行、不和业务Pod绑定的代理，只处理经过网关的南北向进出集群流量，不管集群内服务之间的互访流量，规则也不会下发到业务的旁挂Sidecar上。

内容的提问来源于stack exchange，提问作者Toni26