如何在Nginx作为Kubernetes认证代理时拆分分组请求头

我来帮你搞定这个Nginx配置的问题——把认证端点返回的逗号分隔X-Groups头拆成多个独立的X-Remote-Group请求头，传递给后端（比如Kubernetes API）。Nginx本身没有原生的循环指令，但我们有两种靠谱的实现方式，我给你详细拆解：

方法1：用Map指令拆分（无需额外模块） #

如果你的分组数量比较固定（比如最多4个），可以用Nginx内置的map指令结合正则表达式来拆分，不需要额外安装模块。

首先，在http全局块（不是server内部）添加这些map配置：

http {
    # 把逗号分隔的groups转成冒号分隔的临时字符串，方便后续提取
    map $groups $group_list {
        default "";
        ~^(?<g1>[^,]+)(?:,(?<g2>[^,]+))?(?:,(?<g3>[^,]+))?(?:,(?<g4>[^,]+))? "$g1:$g2:$g3:$g4";
    }

    # 分别提取每个分组
    map $group_list $group1 {
        default "";
        ~^([^:]+):.*$ $1;
    }
    map $group_list $group2 {
        default "";
        ~^[^:]+:([^:]+):.*$ $1;
    }
    map $group_list $group3 {
        default "";
        ~^[^:]+:[^:]+:([^:]+):.*$ $1;
    }
    map $group_list $group4 {
        default "";
        ~^[^:]+:[^:]+:[^:]+:([^:]+)$ $1;
    }

    # 你的server块放在这里...
}

然后修改你的location /块，添加条件判断来设置每个非空的分组头：

location / {
    auth_request /_auth;
    auth_request_set $user $upstream_http_x_user;
    auth_request_set $groups $upstream_http_x_groups;

    proxy_pass http://localhost/backend;
    proxy_set_header X-Remote-User $user;
    
    # 只给存在的分组设置请求头，避免空值
    if ($group1 != "") {
        proxy_set_header X-Remote-Group $group1;
    }
    if ($group2 != "") {
        proxy_set_header X-Remote-Group $group2;
    }
    if ($group3 != "") {
        proxy_set_header X-Remote-Group $group3;
    }
    if ($group4 != "") {
        proxy_set_header X-Remote-Group $group4;
    }
}

说明 #

• 这个方法预先适配了最多4个分组的场景，如果你的分组更多，只需要扩展正则和对应的map变量就行。
• if指令用来过滤空值，确保不会传递无效的空请求头。

方法2：用Lua脚本（灵活适配任意数量分组） #

如果你的分组数量不固定，推荐用Lua脚本实现，它能轻松遍历所有逗号分隔的分组，不管有多少个。不过这个方法需要你的Nginx支持Lua模块（推荐用OpenResty，默认自带）。

在location /块中添加Lua处理逻辑：

location / {
    auth_request /_auth;
    auth_request_set $user $upstream_http_x_user;
    auth_request_set $groups $upstream_http_x_groups;

    # 用Lua遍历所有分组，逐个添加请求头
    rewrite_by_lua_block {
        local remaining_groups = ngx.var.groups
        if remaining_groups then
            -- 匹配所有非逗号的内容，遍历每个分组
            for group in string.gmatch(remaining_groups, "[^,]+") do
                ngx.req.set_header("X-Remote-Group", group)
            end
        end
    }

    proxy_pass http://localhost/backend;
    proxy_set_header X-Remote-User $user;
}

说明 #

• string.gmatch会自动把逗号分隔的字符串拆成一个个分组，然后通过ngx.req.set_header逐个添加同名请求头，Nginx会自动把这些同名头都传递给后端。
• 这个方法完全不需要提前预估分组数量，适配性更强。

验证配置是否生效 #

你可以修改模拟后端的返回内容，来确认请求头是否正确传递：

server {
    listen 80 default_server;
    location /backend {
        default_type application/json;
        -- 当有多个同名头时，Nginx会用逗号拼接返回，所以你会看到所有分组的集合
        return 200 '{"user": "$http_x_remote_user", "groups": "$http_x_remote_group"}';
    }
}

访问HTTPS根路径后，后端返回的JSON里应该能看到所有分组，说明请求头已经正确拆分并传递了。

注意事项 #

• 用Lua方法的话，确保你的Nginx环境支持Lua（OpenResty是最省心的选择）。
• 注意auth_request_set的变量名：Nginx变量是小写的，所以$upstream_http_x_groups对应认证端点返回的X-Groups响应头，别写错了。
• 如果用方法1，记得根据实际分组数量扩展正则和map变量，避免遗漏分组。

内容的提问来源于stack exchange，提问作者Shailendra