Istio AuthorizationPolicy路径通配符不生效及无需改端点的方案咨询

Istio AuthorizationPolicy 支持通配符匹配，但不支持常规glob语法下嵌入在路径中间的通配符，你当前遇到的规则失效本质是匹配逻辑和直觉认知的偏差，不是AuthorizationPolicy本身不支持路径通配。
它的路径字段仅支持4种字符串匹配模式，其中带通配符的只有2种：

• 全匹配：单个*，可以匹配任意所有路径
• 前缀匹配：通配符放在路径末尾，比如/api/*，匹配所有以/api开头的路径
• 后缀匹配：通配符放在路径开头，比如*/.jpg，匹配所有以.jpg结尾的路径
• 精确匹配：没有任何通配符，要求请求路径和配置值完全一致
  你写的/my-service/docs/*/activate/*把*嵌入在了路径中间，按照Istio的解析逻辑，这种写法不会被识别为通配符，而是当成没有特殊语义的普通字符串做精确匹配——只有当请求路径完全等于"/my-service/docs//activate/"这个字面文本时才会命中，自然匹配不到真实的带路径参数的请求，规则就直接失效了。

你可以根据自己的Istio版本和实际业务场景选下面的方案：

方案1：用合法的前缀匹配重构PUT路径规则（兼容所有Istio版本） #

你要匹配的PUT端点固定以/my-service/docs/为路径开头，直接把通配符放到路径末尾，利用前缀匹配覆盖动态参数段即可，不需要中间的通配符。修改后的规则片段：

rules:
  - from:
      - source:
          notNamespaces: [ "default" ]
    to:
      - operation:
          methods: ["GET"]
          paths: ["/my-service/docs/active"]
      - operation:
          methods: ["PUT"]
          paths: ["/my-service/docs/*"] # *放在路径末尾，是合法的前缀匹配，会覆盖所有以该字符串开头的PUT请求，自然覆盖/docs/{任意id}/activate/{任意值}的动态路径

注意点：如果/my-service/docs/前缀下还存在其他不需要拒绝访问的PUT端点，这种写法会把这些路径也纳入拒绝范围，就不适合直接用。

方案2：用正则表达式精准匹配（Istio 1.18及以上版本支持） #

新版本的AuthorizationPolicy支持自定义匹配类型的正则匹配，不受通配符位置限制，可以精准锁定带路径参数的目标端点，避免误伤同前缀的其他接口，示例配置：

rules:
  - from:
      - source:
          notNamespaces: [ "default" ]
    to:
      - operation:
          methods: ["GET"]
          paths: ["/my-service/docs/active"]
      - operation:
          methods: ["PUT"]
          paths:
            - matchType: REGEX
              value: "^/my-service/docs/[^/]+/activate/(true|false)$"

这种写法可以精准匹配你的文档激活/停用接口，不会因为前缀匹配过宽拦截其他同前缀的PUT请求。

方案3：用后缀匹配缩小规则范围 #

如果你的激活/停用路径固定以/activate/相关字段作为路径尾段，也可以用后缀匹配的逻辑缩小规则覆盖范围，比如配置*/activate/*作为后缀匹配规则，避免和前缀匹配叠加后的范围过宽问题。

内容的提问来源于stack exchange，提问作者user14242404