Kubernetes Nginx Ingress配置OAuth Proxy双授权头不生效排查

你的配置不生效是三个Nginx Ingress外部认证逻辑的典型坑：

• 第一，Ingress发往auth服务的子请求默认不会透传未声明的客户端头，你没把Proxy-Authorization加入透传列表，auth子请求根本拿不到这个头的值，$http_proxy_authorization在auth请求上下文里是空值。
• 第二，Ingress生成auth子请求配置时，会默认强制写入proxy_set_header Authorization $http_authorization;，你在auth-snippet里写的同名header设置会因为配置顺序问题被这行默认规则覆盖，根本不会生效。
• 第三，你试过的$proxy_authorization不是Nginx的内置变量，属于无效取值，替换成这个肯定拿不到值。

直接调整Ingress注解为以下内容即可：

# 保留原有两个OAuth相关配置
nginx.ingress.kubernetes.io/auth-signin: https://oauth.mydomain.net/oauth2/start?rd=https://myapplication.mydomain.net
nginx.ingress.kubernetes.io/auth-url: https://oauth.mydomain.net/oauth2/auth
# 新增：声明透传给auth服务的头，注意不要把原始Authorization加进去
nginx.ingress.kubernetes.io/auth-request-headers: "X-Forwarded-Proto X-Forwarded-Host X-Forwarded-Uri X-Forwarded-For Proxy-Authorization"
# auth子请求的header设置，此时不会被默认规则覆盖
nginx.ingress.kubernetes.io/auth-snippet: |
  proxy_set_header Authorization $http_proxy_authorization;
# 转发给后端时保留原始Authorization头
nginx.ingress.kubernetes.io/configuration-snippet: |
  proxy_set_header Authorization $http_authorization;

不需要额外加proxy_pass_request_headers on，这个配置默认就是开启的，加了没有实际作用。

1. 先确认你的OAuth Proxy本身开启了Bearer Token认证逻辑，否则即使头传对了，OAuth Proxy不认Header里的Token，还是会返回302跳登录。比如常用的oauth2-proxy需要配置--skip-jwt-bearer-tokens=true并正确配置JWT校验密钥，才会从Authorization头读取凭证认证。
2. 用curl测试时要清空本地已有的OAuth Cookie，避免Cookie里的会话信息干扰测试，参考命令：

curl -v --cookie "" \
  -H "Proxy-Authorization: Bearer <OAuth侧的有效Token>" \
  -H "Authorization: Bearer <后端业务侧校验的有效Token>" \
  https://myapplication.mydomain.net/api/path

配置正确的话会直接返回接口的200响应，不会再触发登录跳转。

内容的提问来源于stack exchange，提问作者dfranca