Istio如何将JWT的Payload声明填充到请求头供微服务读取

首先明确：仅靠RequestAuthentication无法实现单字段提取到独立请求头的需求，它的outputPayloadToHeader仅支持将完整的JWT Payload序列化后写入单个指定请求头，你当前配置已经将完整Payload写入了x-jwt请求头中。

可选实现方案 #

方案一：业务服务直接解析（成本最低） #

你现有配置已经满足底层能力要求：x-jwt头中已经存储了完整的JWT Payload JSON字符串，业务服务只需要对该头的值做JSON解析，即可直接读取name等任意Payload属性，无需额外修改Istio配置。

方案二：Istio侧自动提取（零业务代码侵入） #

如果不想修改业务服务逻辑，可以通过EnvoyFilter扩展Istio代理能力，自动将指定Payload字段写入独立请求头，示例配置如下：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: jwt-payload-to-header
  namespace: default
spec:
  workloadSelector:
    labels:
      app: servicea
  configPatches:
    # 第一步：将JWT Payload存入Envoy元数据
    - applyTo: HTTP_FILTER
      match:
        context: SIDECAR_INBOUND
        listener:
          portNumber: 80 # 替换为你服务的实际端口
          filterChain:
            filter:
              name: "envoy.filters.network.http_connection_manager"
              subFilter:
                name: "envoy.filters.http.jwt_authn"
      patch:
        operation: MERGE
        value:
          typed_config:
            "@type": "type.googleapis.com/envoy.extensions.filters.http.jwt_authn.v3.JwtAuthentication"
            providers:
              # 这里的provider名称要和你RequestAuthentication里的jwt issuer对应
              testing@secure.istio.io:
                payload_in_metadata: "jwt_payload"
    # 第二步：从元数据提取字段写入请求头
    - applyTo: HTTP_FILTER
      match:
        context: SIDECAR_INBOUND
        listener:
          portNumber: 80 # 替换为你服务的实际端口
          filterChain:
            filter:
              name: "envoy.filters.network.http_connection_manager"
              subFilter:
                name: "envoy.filters.http.router"
      patch:
        operation: INSERT_BEFORE
        value:
          name: envoy.lua
          typed_config:
            "@type": "type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua"
            inlineCode: |
              function envoy_on_request(request_handle)
                local meta = request_handle:streamInfo():dynamicMetadata()
                local jwt_payload = meta:get("envoy.filters.http.jwt_authn", "jwt_payload")
                if jwt_payload ~= nil then
                  -- 提取name字段写入x-jwt-name请求头
                  request_handle:headers():add("x-jwt-name", jwt_payload.name)
                  -- 可按照同样逻辑添加其他字段，比如角色：
                  -- request_handle:headers():add("x-jwt-role", jwt_payload.role)
                end
              end

配置生效后，业务服务可以直接从x-jwt-name请求头中读取到JWT Payload里的name值。

内容的提问来源于stack exchange，提问作者Ram