如何在Istio VirtualService中实现仅内部生效的URI重写

问题根因 #

Istio 网关层的URI重写天然是服务端内部转发行为，不会向客户端返回3xx重定向响应，路径转换仅在网关到后端Pod的内部链路生效，浏览器地址栏会始终保留用户原始访问地址，完全满足无感知重写的要求。
你之前的配置无法生效、出现路由冲突的核心原因：

• rewrite.uri配置逻辑错误：当前配置将重写值固定为"/"，会把所有匹配前缀的请求全路径直接替换为根路径，而非仅剥离路径开头的服务前缀，后端收到的路径完全不符合预期
• 没有保留前缀后的路径片段，所有匹配路由的请求都会被转发到根路径，同域名下多服务规则自然会出现冲突

正确配置 #

推荐用正则匹配+捕获组实现精确的前缀剥离，兼容所有Istio版本，不会出现双斜杠、路径丢失问题：

apiVersion: networking.istio.io/v1alpha3
kind: VirtualService
metadata:
  name: api
  namespace: default
spec:
  hosts:
  - "api.example.com"
  gateways:
  - istio-system/default-gateway
  http:
  # users服务路由规则
  - match:
    - uri:
        regex: "^/users/(.*)"
    rewrite:
      uri: "/$1"
    route:
    - destination:
        host: user
        port:
          number: 80
  # cars服务路由规则
  - match:
    - uri:
        regex: "^/cars/(.*)"
    rewrite:
      uri: "/$1"
    route:
    - destination:
        # 注意：原配置中此处误写为user服务，请替换为实际cars服务名
        host: car
        port:
          number: 80
  # 可选：根路径兜底路由，避免无匹配请求返回404
  - match:
    - uri:
        prefix: "/"
    route:
    - destination:
        host: user # 替换为实际默认服务
        port:
          number: 80

生效逻辑 #

配置下发后请求链路完全符合需求：

• 客户端访问api.example.com/users/get/87，浏览器地址全程保持原始值，用户无感知
• IngressGateway按顺序匹配路由规则，命中users服务的正则匹配规则
• 网关将请求路径中的/users前缀剥离，把内部转发路径修改为/get/87后发送给user服务Pod
• user服务收到自身可识别的/get/87路径，正常处理返回响应
• 多服务路由规则按从上到下优先级匹配，不会出现跨服务路由冲突

如果你使用Istio 1.10及以上版本，还可以用更简洁的uriPrefix专用重写字段实现相同效果：匹配规则用prefix: /users时，只需配置rewrite.uriPrefix: /，即可自动剥离匹配到的/users前缀，无需编写正则。

内容的提问来源于stack exchange，提问作者brgsousa