Ingress-Nginx如何将token内省响应属性添加到被代理请求

该需求完全被ingress-nginx原生支持，具体实现逻辑和操作步骤如下：

实现原理 #

ingress-nginx的外部OAuth认证机制在令牌校验通过后，支持将认证服务返回的指定响应头透传给上游业务服务，无需二次开发Ingress控制器逻辑。

具体操作步骤 #

1. 调整IdentityServer4令牌内省接口返回逻辑 #

IdentityServer4默认的令牌内省接口返回JSON格式结果，你需要对该接口做轻量封装：当令牌验证通过时，将需要透传的用户信息封装为X-Auth-为前缀的响应头返回，示例如下：

• X-Auth-Username: 用户实际用户名
• X-Auth-Email: 用户绑定邮箱
• X-Auth-Roles: 用户所属角色，多角色可用英文逗号分隔

2. 配置业务服务Ingress的认证注解 #

在业务服务对应的Ingress资源中添加以下注解，启用外部认证并指定透传的响应头：

# 指定令牌内省接口地址
nginx.ingress.kubernetes.io/auth-url: "http://你的IdentityServer4服务地址/connect/introspect"
# 内省接口默认使用POST请求
nginx.ingress.kubernetes.io/auth-method: "POST"
# 显式声明需要透传给上游服务的响应头
nginx.ingress.kubernetes.io/auth-response-headers: "X-Auth-Username,X-Auth-Email,X-Auth-Roles"
# 如果内省接口需要Basic认证（IdentityServer4默认开启），添加以下配置注入认证头
nginx.ingress.kubernetes.io/auth-snippet: |
  proxy_set_header Authorization "Basic <client_id:client_secret的Base64编码值>";

3. 下游服务读取透传信息 #

业务服务直接从入站请求的头信息中读取对应X-Auth-前缀的字段，即可获取用户信息做后续的角色权限校验。

注意事项 #

• 不要透传用户敏感信息（如身份证号、手机号等非必要字段），避免信息泄露风险
• 若透传的角色列表过长，可调整Ingress的proxy-buffer-size配置避免头溢出问题
• 可添加缓存注解nginx.ingress.kubernetes.io/auth-cache-key: $http_authorization减少内省接口的请求量，提升转发性能

内容的提问来源于stack exchange，提问作者FlanGorge