迁移到java-cfenv后Cloud Foundry部署所有请求返回403问题排查

可能的故障原因 #

• 转发头未正确配置导致CSRF/CORS校验失败
  Spring Cloud Connector 默认会自动适配 Cloud Foundry 的反向代理场景，自动配置server.forward-headers-strategy为NATIVE，可以正确识别CF路由层传递的X-Forwarded-*系列请求头。迁移到java-cfenv后该配置不会自动注入，如果你的应用开启了Spring Security的默认CSRF防护、或者配置了CORS域名校验，会无法识别CF的真实请求来源，校验失败直接返回403。可在cloud profile配置文件中添加如下配置验证：

server:
  forward-headers-strategy: native

如果是CSRF校验导致的，也可以先临时关闭CSRF验证排查问题。

• Vault 配置读取异常导致安全规则失效
  java-cfenv读取Vault服务配置的属性前缀、解析逻辑和Spring Cloud Connector存在差异，可能出现CF环境下绑定的hc_vault服务中的安全配置（如接口访问白名单、全局权限校验规则、接口鉴权密钥等）未被正确读取加载，导致全局权限拦截器拦截所有合法请求返回403。可在应用中新增日志打印hc_vault相关的配置项，对比本地和CF环境的配置值是否一致。
• 域名访问白名单未适配CF路由
  如果你的应用配置了域名访问校验规则，仅允许特定域名的请求访问，本地测试时使用的域名已加入白名单，但manifest中绑定的三个CF路由域名app-blue.us-east.domain.com、app-blue.com、app.com未加入白名单，也会触发全局403拦截。
• 环境变量优先级导致安全配置被覆盖
  Cloud Foundry 平台注入的系统环境变量优先级高于应用jar包内的配置文件，可排查CF平台是否自动注入了SPRING_SECURITY_*开头的环境变量，覆盖了你cloud profile中配置的安全规则，导致所有请求被拦截。

内容的提问来源于stack exchange，提问作者lapots