K8s中Nginx Ingress结合oauth proxy时CORS跨域认证报错如何解决

问题根因 #

• 两个服务分别部署在不同子域名a.example.com与b.example.com，oauth2-proxy默认会为每个域名独立下发会话Cookie，a.example.com下的Cookie无法被自动携带到b.example.com的跨域请求中
• 服务b收到无有效会话凭证的请求时，会返回302重定向到Google认证页面，而Google的认证接口本身不会返回CORS响应头，因此浏览器直接拦截了该跳转请求，就是你看到的报错来源
• 额外配置错误：你为b-oauth（即oauth2-proxy服务对应的Ingress）也添加了auth-url和auth-signin注解，oauth2-proxy本身是提供认证能力的服务，它的接口不需要额外的认证校验，该配置会导致访问认证路径时出现无限重定向问题

修复步骤 #

1. 修正无效配置 #

首先删除b-oauth Ingress中的以下两个注解，a-oauth的当前配置正确无需修改：

nginx.ingress.kubernetes.io/auth-url: "https://$host/oauth2/auth"
nginx.ingress.kubernetes.io/auth-signin: "https://$host/oauth2/start?rd=$escaped_request_uri"

2. 选择认证复用方案 #

方案一：同根域名共享Cookie（改造成本最低，优先选择）

两个服务均为example.com的子域名，可配置oauth2-proxy下发根域名级别的Cookie，两个子域名均可正常读取：
修改oauth2-proxy的启动参数，新增以下配置，两个服务的oauth2-proxy实例都要做相同修改：

--cookie-domain=.example.com
--whitelist-domain=.example.com
--cookie-samesite=lax

方案二：请求头传递令牌（适合跨根域名场景）

如果两个服务的根域名不同，可让前端从服务a的oauth2-proxy获取access token，调用服务b时放在请求头中传递：
修改两个服务的oauth2-proxy启动参数，新增以下配置：

--skip-jwt-bearer-tokens=true
--oidc-issuer-url=https://accounts.google.com

前端调用服务b的接口时，在请求头中添加Authorization: Bearer <获取到的access-token>即可。

3. 完善CORS配置 #

在服务b的业务Ingress（即name为b的Ingress）中添加以下注解，补全CORS规则：

# 允许跨域请求携带凭证
nginx.ingress.kubernetes.io/cors-allow-credentials: "true"
# 允许a.example.com的跨域请求
nginx.ingress.kubernetes.io/cors-allow-origin: "https://a.example.com"
# 允许的请求方法
nginx.ingress.kubernetes.io/cors-allow-methods: "GET, PUT, POST, DELETE, PATCH, OPTIONS"
# 允许的请求头
nginx.ingress.kubernetes.io/cors-allow-headers: "DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization"
# 跳过OPTIONS预检请求的认证校验
nginx.ingress.kubernetes.io/auth-snippet: |
  if ($request_method = OPTIONS) {
    return 204;
  }

4. 调整前端请求配置 #

前端调用服务b的接口时，必须开启凭证携带配置：

• 使用fetch调用时添加参数credentials: 'include'
• 使用axios调用时配置withCredentials: true

内容的提问来源于stack exchange，提问作者Luminance