如何关闭或移除x-envoy-peer-metadata并限制该头部携带的敏感数据

x-envoy-peer-metadata是Istio体系下Envoy代理默认用于传递对等节点元数据的请求头部，默认会携带K8s服务账号、命名空间、Pod标签、集群信息等敏感内容，跨信任域通信时确实存在信息泄露风险，可通过以下三种方案处理：

方案1：全局关闭元数据交换特性 #

如果业务不依赖Istio基于元数据实现的遥测、精细化权限控制等能力，可以直接全局关闭该头部的生成逻辑：

• 编辑Istio的核心配置（Operator配置或istio ConfigMap），添加如下配置段：

meshConfig:
  defaultConfig:
    proxyMetadata:
      ISTIO_DISABLE_METADATA_EXCHANGE: "true"

• 配置更新后滚动重启所有Sidecar代理即可生效，生效后Envoy不会再主动生成、传递x-envoy-peer-metadata以及配套的x-envoy-peer-metadata-id头部。
  注意：该配置会全局关停元数据交换能力，依赖元数据的Istio原生能力会同步失效，仅适合不需要Istio高级特性的场景使用。

方案2：通过EnvoyFilter精准删除出口头部 #

如果需要保留元数据交换能力，仅需要在出口流量中抹除该头部，可以自定义EnvoyFilter实现：

• 编写针对出口流量的Lua过滤器配置，在请求发出前移除目标头部：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: remove-envoy-peer-metadata
  namespace: istio-system
spec:
  workloadSelector:
    labels:
      # 按需指定要生效的工作负载标签，省略则对集群内所有Sidecar生效
      app: your-target-workload
  configPatches:
  - applyTo: HTTP_FILTER
    match:
      context: SIDECAR_OUTBOUND # 匹配出口流量
      listener:
        filterChain:
          filter:
            name: "envoy.filters.network.http_connection_manager"
            subFilter:
              name: "envoy.filters.http.router"
    patch:
      operation: INSERT_BEFORE
      value:
       name: envoy.lua
       typed_config:
         "@type": "type.googleapis.com/envoy.extensions.filters.http.lua.v3.Lua"
         inlineCode: |
           function envoy_on_request(request_handle)
             request_handle:headers():remove("x-envoy-peer-metadata")
             request_handle:headers():remove("x-envoy-peer-metadata-id")
           end

• 配置下发后即刻生效，不会影响其他依赖元数据的Istio功能，也可以按需限定生效的工作负载、端口范围。

方案3：限制头部可写入的字段范围 #

如果需要保留该头部，但不希望敏感字段被写入，可以通过配置限定仅允许指定字段进入该头部：

• 在Istio的meshConfig中添加允许暴露的字段列表：

meshConfig:
  defaultConfig:
    proxyMetadata:
      # 按需调整允许暴露的字段，示例仅保留命名空间、服务名两个非敏感字段
      ISTIO_META_EXCHANGE_KEYS: "ns,svc"

• 配置更新后重启Sidecar生效，x-envoy-peer-metadata中只会包含你指定的字段，服务账号、Pod标签、节点信息等敏感内容都会被过滤，不会写入头部。

内容的提问来源于stack exchange，提问作者rplusg