如何通过Traefik向请求路径追加OAuth2相关查询参数？

我把Traefik用作内部OAuth2提供者的API网关，直接调用OAuth2提供者的接口完全正常：

curl -XPOST -H 'Content-Type: application/x-www-form-urlencoded' \
-H 'Accept: application/json' -d 'username=username&password=password' \
'http://my-oauth-provider/oauth/token?grant_type=password&client_id=client_id&client_secret=client_secret'

这个请求能返回200 OK并拿到Bearer令牌。

我的需求是：在Traefik配置里藏好OAuth2的client_id这类敏感信息，API消费者只需要提供用户名和密码就行，client_id、client_secret还有grant_type=password这些参数，都由Traefik自动加到请求里。消费者的调用方式应该是这样的：

curl -XPOST -H 'Content-Type: application/x-www-form-urlencoded' \
-H 'Accept: application/json' -d 'username=username&password=password' \
'http://my-traefik-api-gateway/oauth/token'

我之前试着用Traefik的ReplacePathRegex修饰符解决，但配置没生效，从日志里看，我要追加的参数根本没加到发给后端的请求里。当时的配置是这样的：

[frontends]
[frontends.oauth-provider]
backend = "my-oauth-provider"
[frontends.oauth-provider.routes.route1]
rule = "ReplacePathRegex: ^(.*)$ $1?grant_type=client_credentials&client_id=client_id&client_secret=client_secret; Path: /oauth/token"

想问问怎么用Traefik实现这个需求？

兄弟，你思路方向是对的，但踩了两个小坑：一是ReplacePathRegex本质是用来修改请求路径的，对POST请求的查询参数处理不够直接；二是你写错了grant_type——你要用密码模式，应该是password而不是client_credentials，这也是个关键错误。

针对你的Traefik v1配置（从你的toml格式看是v1），我给你两种靠谱的实现方式：

方式一：用AddQuery中间件添加查询参数（简单直接） #

Traefik v1自带AddQuery中间件，可以自动给转发的请求追加指定的查询参数，完全不用改路径。配置如下：

[frontends]
[frontends.oauth-provider]
backend = "my-oauth-provider"
# 匹配/oauth/token路径
[frontends.oauth-provider.routes.route1]
rule = "Path: /oauth/token"
# 绑定自定义中间件
[frontends.oauth-provider.middlewares]
middleware = ["add-oauth-params"]

# 定义添加OAuth参数的中间件
[middlewares]
[middlewares.add-oauth-params.addQuery]
grant_type = "password"
client_id = "你的真实client_id"
client_secret = "你的真实client_secret"

这样配置后，消费者的请求不带任何查询参数，Traefik会自动把这三个参数追加到转发给后端OAuth提供者的请求里，完全符合你的需求。

方式二：用AddHeader添加Basic Auth头（更安全） #

很多OAuth2提供者推荐用Basic Auth头传递client_id和client_secret，而不是放在查询参数里（避免被日志记录）。这种情况下，你可以用AddHeader中间件：

1. 先把client_id:client_secret做Base64编码（比如用echo -n "client_id:client_secret" | base64生成）
2. 然后配置中间件：

[frontends]
[frontends.oauth-provider]
backend = "my-oauth-provider"
[frontends.oauth-provider.routes.route1]
rule = "Path: /oauth/token"
[frontends.oauth-provider.middlewares]
middleware = ["add-oauth-header", "add-grant-type"]

# 添加Basic Auth头
[middlewares]
[middlewares.add-oauth-header.addHeader]
Authorization = "Basic 你的Base64编码字符串"

# 单独添加grant_type查询参数
[middlewares.add-grant-type.addQuery]
grant_type = "password"

这种方式更安全，也符合OAuth2的最佳实践。

为什么之前的ReplacePathRegex没生效？ #

你之前的规则写法是^(.*)$ $1?xxx，理论上如果是GET请求应该能生效，但POST请求下Traefik v1的ReplacePathRegex对查询参数的处理不够稳定，而且你写错了grant_type，这也导致即使参数加上了，后端也不会正确处理。

如果你用的是Traefik v2+（现在更推荐的版本），配置会更简洁，用AddQuery中间件即可：

http:
  middlewares:
    add-oauth-params:
      addQuery:
        query:
          - "grant_type=password"
          - "client_id=你的client_id"
          - "client_secret=你的client_secret"
  routers:
    oauth-provider-router:
      rule: "Path(`/oauth/token`)"
      middlewares: ["add-oauth-params"]
      service: oauth-provider-service
  services:
    oauth-provider-service:
      loadBalancer:
        servers:
          - url: "http://my-oauth-provider"

内容的提问来源于stack exchange，提问作者Markus