NGINX Ingress如何基于自定义Header实现差异化路由与认证流程

方案结论 #

该需求完全可以通过原生NGINX Ingress实现，无需引入Istio或Ambassador。你之前的方案失效的核心原因是全局认证配置的优先级高于单Ingress的关闭注解，且相同Host、路径的Ingress规则不会自动按Header分流，导致你配置的enable-global-auth: "false"没有生效。

具体实现步骤 #

步骤1：移除全局认证配置 #

首先删除ConfigMap中的global-auth-url和global-auth-method配置项，全局认证配置会强制给所有Ingress规则注入认证逻辑，优先级极高，单Ingress的关闭注解无法覆盖同Host同路径下的全局规则。

步骤2：使用单Ingress加自定义snippet实现分流+差异化认证 #

直接通过NGINX原生的逻辑判断实现Header匹配、分流、认证开关控制，示例配置如下：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    kubernetes.io/ingress.class: "nginx"
    # 服务端逻辑判断：按Header分配后端、控制认证开关
    nginx.ingress.kubernetes.io/server-snippet: |
      # 匹配Example-header: test的请求
      if ($http_example_header = "test") {
          # 替换为你实际的后端1 upstream，格式为<命名空间>-<服务名>-<端口>
          set $proxy_upstream_name "default-backend-service-8080";
          # 开启认证
          auth_request /_authenticate;
          auth_request_set $auth_status $upstream_status;
      }
      # 匹配未携带Example-header的请求
      if ($http_example_header = "") {
          # 替换为你实际的后端2 upstream，格式为<命名空间>-<服务名>-<端口>
          set $proxy_upstream_name "default-backend-service2-8080";
      }
    # 定义认证接口的内部调用配置
    nginx.ingress.kubernetes.io/configuration-snippet: |
      location = /_authenticate {
          internal;
          # 替换为你实际的auth-service认证接口地址
          proxy_pass http://auth-service-url:8080/authenticate;
          proxy_pass_request_body off;
          proxy_set_header Content-Length "";
          proxy_set_header X-Original-URI $request_uri;
          proxy_set_header X-Original-Method $request_method;
      }
spec:
  rules:
  - host: host1
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: backend-service
            port:
              number: 8080

补充说明 #

• 该方案完全复用NGINX原生的auth_request能力，和你之前的全局认证逻辑完全一致，不会改变原有认证流程的行为。
• 如果不想手写snippet，也可以使用NGINX Ingress 0.22+版本支持的Header路由能力，创建两个同Host的Ingress：其中一个通过nginx.ingress.kubernetes.io/match-header注解匹配Example-header: test，并单独配置nginx.ingress.kubernetes.io/auth-url注解开启认证；另一个Ingress不配置Header匹配，也不配置认证注解即可，两种方案都能达到效果。

内容的提问来源于stack exchange，提问作者João Pereira