Kubernetes Ingress SSL卸载下Magnolia UI登录失败，疑X-Forwarded头被忽略

AI 小北

2026-5-19

你的推测完全正确！

Magnolia 默认不会自动识别 X-Forwarded-* 请求头，这正是Ingress做SSL卸载后UI登录失败的核心原因——Magnolia会用内部HTTP地址生成跳转链接、会话Cookie，而非Ingress暴露的HTTPS地址，导致前后端地址不匹配，引发登录请求拦截或会话失效。

可行的解决办法

1. 开启Tomcat的RemoteIpValve（针对Tomcat部署的Magnolia）

大部分官方Magnolia镜像基于Tomcat，你需要配置RemoteIpValve让Tomcat信任Ingress传递的转发头：

<Valve className="org.apache.catalina.valves.RemoteIpValve"
       remoteIpHeader="X-Forwarded-For"
       protocolHeader="X-Forwarded-Proto"
       protocolHeaderHttpsValue="https"/>

可以把这段配置添加到server.xml的<Engine>标签内，或者通过自定义context.xml挂载到容器中。

2. 配置Magnolia的外部Base URL

两种方式设置外部访问的HTTPS地址：

JVM启动参数：在Magnolia的Deployment资源中添加启动参数：
```
-Dmagnolia.baseUrl=https://your-magnolia-domain.com
```
AdminCentral配置：先绕过Ingress直接访问内部端口登录Magnolia，进入Configuration > Server，设置：
- Default URI Scheme为https
- Default Host为你的域名

3. 确保Ingress正确传递转发头

以NGINX Ingress为例，添加以下注解确保转发头被正确传递：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/use-forwarded-headers: "true"
    nginx.ingress.kubernetes.io/ssl-redirect: "true"
    # 可选：自定义头配置
    nginx.ingress.kubernetes.io/configuration-snippet: |
      proxy_set_header X-Forwarded-Proto $scheme;
      proxy_set_header X-Forwarded-Host $host;