如何在Google Cloud全局HTTPS负载均衡器中全局设置HTTP响应头？

我完全懂你的困扰——从Kubernetes的Nginx Ingress切换到Google Cloud全局HTTPS负载均衡器后，之前那种一次性给所有子域名、路由全局配置响应头的便捷方式没了，现在得每个路由规则都重复写一遍相同的header配置，确实很繁琐。下面给你分享两种能实现类似Nginx全局头效果的方法，按需选择就行：

方法1：通过Backend Service统一配置响应头 #

这是最直接的方案，适合所有Cloud Run服务对应的Backend Service都需要相同响应头的场景。你可以直接在Backend Service层面添加这些头，这样所有指向该Backend Service的路由都会自动继承这些设置，不用在每个routeRule里重复编写headerAction。

举个gcloud命令行的操作示例：

# 更新指定的Backend Service，批量添加全局响应头
gcloud compute backend-services update hello-blue-backend \
  --global \
  --add-response-header="X-Frame-Options:DENY" \
  --add-response-header="X-Content-Type-Options:nosniff" \
  --add-response-header="Referrer-Policy:strict-origin" \
  --add-response-header="server:hide"

如果你有多个Backend Service需要统一配置，可以批量执行类似的更新命令，或者在创建Backend Service时就把这些头参数加上。

方法2：用Cloud Armor策略实现全局（含条件性）响应头 #

如果你的需求更复杂——比如需要根据请求条件动态设置头，或者要给所有经过负载均衡器的流量统一加头（不管对应哪个Backend Service），Cloud Armor会是更灵活的选择。

步骤如下： #

1. 创建Cloud Armor安全策略并添加响应头规则

# 先创建一个全局策略
gcloud compute security-policies create global-header-policy \
  --description="给所有流量添加全局响应头"

# 添加无条件匹配所有请求的规则（优先级设高，确保最后执行）
gcloud compute security-policies rules create 1000 \
  --security-policy global-header-policy \
  --action allow \
  --description="添加全局统一响应头" \
  --add-response-header="X-Frame-Options:DENY" \
  --add-response-header="X-Content-Type-Options:nosniff" \
  --add-response-header="Referrer-Policy:strict-origin" \
  --add-response-header="server:hide"

# 如果你需要实现类似Nginx里的条件性头设置（比如匹配特定origin时添加X-Frame-Options）
gcloud compute security-policies rules create 500 \
  --security-policy global-header-policy \
  --action allow \
  --description="给指定Origin的请求添加X-Frame-Options" \
  --expression="request.origin.matches('^https?://([^/]+\.)*(app|staging|dev|beta)(\.example\.com)$')" \
  --add-response-header="X-Frame-Options:DENY"

2. 将策略关联到你的全局HTTPS负载均衡器的Target HTTP(S) Proxy

gcloud compute target-https-proxies update example-proxy \
  --security-policy global-header-policy

这样所有经过这个负载均衡器的流量，都会自动应用这些响应头规则，完全不用在每个路由里重复配置。

补充说明 #

关于你之前Nginx配置里的set $http_origin "${scheme}://${host}";逻辑，在GCP负载均衡器里可以通过URL Map的headerAction.requestHeadersToAdd来设置自定义请求头，或者结合Cloud Armor的规则来处理请求头的修改，再配合响应头设置实现相同效果。

备注：内容来源于stack exchange，提问作者Mauricio