如何忽略客户端请求Header但允许Zuul过滤器添加的Header生效

我之前也踩过这个坑：用zuul.ignore-headers=user-id确实会一刀切把所有同名的Header都过滤掉，不管是客户端原始请求带的，还是过滤器后续添加的。要实现“只忽略客户端传来的，保留自己加的”这个需求，得换个思路，不用全局忽略配置，而是通过自定义前置过滤器来精准处理：

步骤1：移除全局忽略配置 #

先把zuul.ignore-headers里的user-id删掉，避免全局拦截。如果原本有其他需要忽略的Header，保留那些即可，比如：

# 只保留你真正需要全局忽略的Header，不要加user-id
zuul.ignore-headers=Cookie,Set-Cookie

步骤2：自定义Zuul前置过滤器 #

写一个Pre类型的过滤器，先移除客户端请求里的user-id，再添加你通过OAuth获取到的user-id。这样就能确保后续路由到微服务时，只有我们手动添加的Header会被传递。

示例代码：

import com.netflix.zuul.ZuulFilter;
import com.netflix.zuul.context.RequestContext;
import org.springframework.stereotype.Component;
import javax.servlet.http.HttpServletRequest;

@Component
public class CustomUserIdHeaderFilter extends ZuulFilter {

    @Override
    public String filterType() {
        // 前置过滤器，在路由执行前处理
        return "pre";
    }

    @Override
    public int filterOrder() {
        // 设置执行顺序：确保在OAuth获取用户信息的过滤器之后，同时在路由过滤器之前
        // 可以根据你的实际过滤器顺序调整，这里用10作为示例
        return 10;
    }

    @Override
    public boolean shouldFilter() {
        // 这里可以根据业务需求设置过滤条件，比如只针对特定路由生效
        return true;
    }

    @Override
    public Object run() {
        RequestContext ctx = RequestContext.getCurrentContext();
        HttpServletRequest request = ctx.getRequest();

        // 第一步：移除客户端传来的原始user-id Header
        if (request.getHeader("user-id") != null) {
            ctx.removeRequestHeader("user-id");
        }

        // 第二步：通过OAuth获取用户ID（这里替换成你实际的获取逻辑）
        String userIdFromOAuth = getUserIdFromOAuthContext();

        // 添加我们自己的user-id Header，供下游微服务使用
        ctx.addZuulRequestHeader("user-id", userIdFromOAuth);

        return null;
    }

    // 模拟从OAuth上下文获取用户ID的方法，替换成你的实际实现
    private String getUserIdFromOAuthContext() {
        // 比如从SecurityContextHolder或者Token里解析
        return "oauth-resolved-user-id-123";
    }
}

为什么这个方法可行？ #

• zuul.ignore-headers是在Zuul的核心路由逻辑之前就执行全局过滤，不管Header的来源，所以会误杀我们自己加的。
• 而自定义Pre过滤器是在路由逻辑之前，先清除客户端的原始Header，再添加我们的Header，后续Zuul路由时只会携带我们添加的那个user-id，完美实现需求。

内容的提问来源于stack exchange，提问作者lehug