Kubernetes环境使用Nginx Ingress暴露Nifi时出现CORS错误如何解决

问题根因 #

从Nifi服务侧日志可以直接定位：CORS拒绝是Nifi内部的CORS校验逻辑触发的，你在Ingress层配置的CORS规则未生效，因为请求到达Nifi时，Nifi自身校验Origin不通过直接返回403，还没到Ingress回写CORS响应头的阶段。

修复步骤 #

1. 修正Deployment环境变量配置 #

你之前只配置了NIFI_WEB_PROXY_HOST，需要补全Nifi运行在反向代理场景下的所有必要CORS相关环境变量，同时注意你原有配置里NIFI_WEB_HTTP_PORT的值末尾多了一个无效字符b，一并修正：

env:
  - name: NIFI_WEB_HTTP_PORT
    value: '8080'
  # 对外暴露的访问域名
  - name: NIFI_WEB_PROXY_HOST
    value: 'nifi.example.com'
  # 外部访问协议，你在Ingress侧做了TLS卸载，外部走HTTPS
  - name: NIFI_WEB_PROXY_SCHEME
    value: 'https'
  # 外部访问端口，HTTPS默认443
  - name: NIFI_WEB_PROXY_PORT
    value: '443'
  # 允许的CORS来源，填写你的实际访问域名，多域名用逗号分隔
  - name: NIFI_WEB_CORS_ALLOWED_ORIGINS
    value: 'https://nifi.example.com'
  # 允许的请求方法
  - name: NIFI_WEB_CORS_ALLOWED_METHODS
    value: 'GET,POST,PUT,DELETE,OPTIONS,HEAD'
  # 允许携带身份凭证
  - name: NIFI_WEB_CORS_ALLOW_CREDENTIALS
    value: 'true'

2. 清理Ingress侧冲突配置 #

因为CORS校验现在交给Nifi自身处理，Ingress层的CORS配置需要删除避免两层规则冲突，同时原有Ingress配置里cors-allow-origin: "*"和cors-allow-credentials: "true"本身不符合浏览器CORS规范，同时配置会导致浏览器侧校验失败，必须移除以下annotation：

nginx.ingress.kubernetes.io/enable-cors: "true"
nginx.ingress.kubernetes.io/cors-allow-methods: "PUT, GET, POST, OPTIONS"
nginx.ingress.kubernetes.io/cors-allow-origin: "*"
nginx.ingress.kubernetes.io/cors-allow-credentials: "true"

3. 重启验证 #

重新apply修改后的Deployment和Ingress配置，等待Nifi Pod完全启动后再测试模板上传即可。

可选优化 #

Ingress侧的请求体缓存warn日志不影响功能，是上传的模板大小超过了Nginx默认的请求体缓存阈值，可添加以下annotation消除告警：

nginx.ingress.kubernetes.io/client_max_body_size: 100M
nginx.ingress.kubernetes.io/client_body_buffer_size: 10M

内容的提问来源于stack exchange，提问作者SNR