Ingress配置target-rewrite注解时如何传递前端登录会话变量及请求头

问题根因 #

该问题本质是Ingress转发请求到域名B后端时，丢失了用户在域名A下登录产生的身份凭证信息，常见触发原因包括：

• Ingress默认未传递Authorization、Cookie等身份认证相关请求头
• 域名A下发的Cookie域/路径属性与域名B不匹配，后端B无法识别会话
• 后端B配置了Host/Origin头校验，未将域名A加入可信列表，拒绝了转发的请求
• Cookie的SameSite属性配置为严格模式，跨域名场景下无法携带

修复方案 #

1. 配置Ingress强制传递认证相关请求头 #

在你配置了target-rewrite的Ingress规则中添加以下注解，确保所有身份凭证信息被完整转发到后端B：

annotations:
  nginx.ingress.kubernetes.io/configuration-snippet: |
    proxy_set_header Authorization $http_authorization;
    proxy_set_header Cookie $http_cookie;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $remote_addr;
    proxy_set_header X-Forwarded-Proto $scheme;
  nginx.ingress.kubernetes.io/allow-headers: "Authorization,Cookie,Host"

2. 适配Cookie域/路径配置 #

如果你的身份凭证存储在Cookie中，需要配置Cookie重写规则，让域名A下发的Cookie可以被域名B的后端识别：

annotations:
  # 将Cookie的域从域名A替换为域名B，按实际情况替换占位符
  nginx.ingress.kubernetes.io/proxy-cookie-domain: "域名A 域名B"
  # 若Cookie路径存在差异也可添加路径重写规则
  nginx.ingress.kubernetes.io/proxy-cookie-path: "/域名A的路径 /域名B的路径"

如果使用JWT类无状态令牌，建议前端将令牌存储在LocalStorage中，每次发起请求时主动加到Authorization请求头中，无需处理Cookie适配问题。

3. 调整后端服务校验规则 #

登录后端B服务的配置页面，做以下调整：

• 将域名A加入跨域请求的可信Origin列表
• 若后端配置了会话Host校验，将域名A加入可信Host列表
• 将会话Cookie的SameSite属性调整为Lax，如果是HTTPS场景可以设置为None，避免跨站Cookie被浏览器拦截

4. 禁用不必要的Ingress认证拦截 #

检查Ingress是否配置了nginx.ingress.kubernetes.io/auth-url之类的外置认证注解，如有需要确保认证规则同时适配域名A和域名B的访问逻辑，避免重复触发认证流程。

内容的提问来源于stack exchange，提问作者Ajit