如何避免Istio sidecar容器覆盖应用返回的响应头

自动注入的Istio sidecar本质是Envoy代理，默认会在流量转发链路中对响应头做增删改操作，和业务返回的同名头产生冲突时就会出现覆写问题，可通过以下几类配置方案规避，根据实际场景选择即可：

• 调整DestinationRule的响应头操作规则
  不要在trafficPolicy.headers.response.set字段下配置和业务自定义响应头同名的键——set操作会强制覆盖上游返回的同名头；如果需要sidecar额外添加响应头，统一配置在add字段下，该字段的操作默认是追加模式，不会覆写业务已经返回的同名头。基础配置示例：

apiVersion: networking.istio.io/v1beta1
kind: DestinationRule
metadata:
  name: preserve-app-headers
  namespace: <业务所在命名空间>
spec:
  host: <对应业务服务名>
  trafficPolicy:
    headers:
      response:
        # 禁止在此处set业务已使用的响应头
        add:
          # 仅在此处添加sidecar需要额外注入的响应头
          # 例：X-Envoy-Trace-Id: "generated-by-proxy"

• 全局配置禁用Istio默认的响应头覆写逻辑
  Istio默认会覆写Server头、清理部分不符合规范的自定义头，可在安装/升级Istio时通过IstioOperator修改全局配置，关闭默认的头修改行为：

apiVersion: install.istio.io/v1alpha1
kind: IstioOperator
spec:
  meshConfig:
    defaultConfig:
      proxyMetadata:
        # 透传所有上游返回的响应头，不做默认清理
        ENVOY_RESPONSE_HEADERS_KEEP: "*"
        # 禁止Envoy替换Server响应头
        ENVOY_SERVER_HEADER: ""

• 通过EnvoyFilter强制保留业务响应头
  如果使用的Istio版本较低（1.10之前）没有提供上述配置项，可以编写EnvoyFilter在响应处理链路插入Lua逻辑，强制把业务返回的目标响应头锁定，避免被后续代理逻辑覆写。示例配置会保留所有X-App-前缀的自定义业务头：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: lock-custom-response-headers
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      app: <你的业务应用标签> # 可按需选择生效的工作负载，不填则全局生效
  configPatches:
  - applyTo: HTTP_FILTER
    match:
      context: SIDECAR_OUTBOUND
      listener:
        filterChain:
          filter:
            name: envoy.filters.network.http_connection_manager
            subFilter:
              name: envoy.filters.http.router
    patch:
      operation: INSERT_BEFORE
      value:
        name: envoy.filters.http.lua
        typed_config:
          "@type": type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua
          inlineCode: |
            function envoy_on_response(response_handle)
              local headers = response_handle:headers()
              -- 遍历所有头，保留指定前缀的业务自定义头
              for k, v in pairs(headers) do
                if k:sub(1,6) == "X-App-" then
                  headers:set(k, v)
                end
              end
            end

• 配置流量绕过sidecar的HTTP处理链路
  如果业务某部分端口的流量完全不需要Istio提供的流量治理、链路追踪等七层能力，可以在对应工作负载的Sidecar资源中配置端口排除规则，对应端口的流量会直接绕过sidecar的七层处理逻辑，响应头会原封不动返回给客户端，不会被任何代理逻辑修改。

配置生效后可通过istioctl proxy-config listener <业务Pod名称> -n <命名空间> -o yaml查看代理实际加载的配置，确认响应头处理规则符合预期，避免多套配置冲突导致规则不生效。

内容的提问来源于stack exchange，提问作者Sandeep Gogulamudi