1.3.2. HTTP 标头配置

要为应用程序自定义请求和响应标头，请配置 Ingress Controller 或应用特定的路由注解。了解这些配置方法之间的交互可确保您有效地管理全局和特定于路由的标头策略。

您还可以使用路由注解设置某些标头。配置标头的各种方法在协同工作时可能会带来挑战。

注意

您只能在 IngressController 或 Route CR 中设置或删除标头，您无法附加它们。如果使用值设置 HTTP 标头，则该值必须已完成，且在以后不需要附加。在附加标头（如 X-Forwarded-For 标头）时，请使用 spec.httpHeaders.forwardedHeaderPolicy 字段，而不是 spec.httpHeaders.actions。

优先级顺序

当在 Ingress Controller 和路由中修改相同的 HTTP 标头时，HAProxy 会根据它是请求还是响应标头来优先选择操作。

对于 HTTP 响应标头，Ingress Controller 中指定的操作会在路由中指定的操作后执行。这意味着 Ingress Controller 中指定的操作具有优先权。
对于 HTTP 请求标头，路由中指定的操作会在 Ingress Controller 中指定的操作后执行。这意味着路由中指定的操作具有优先权。

例如，集群管理员使用以下配置设置 X-Frame-Options 响应标头，其值为 DENY ：

IngressController spec 示例

apiVersion: operator.openshift.io/v1
kind: IngressController
# ...
spec:
  httpHeaders:
    actions:
      response:
      - name: X-Frame-Options
        action:
          type: Set
          set:
            value: DENY

路由所有者设置 Ingress Controller 中设置的相同响应标头，但使用以下配置值 SAMEORIGIN ：

Route 规格示例

apiVersion: route.openshift.io/v1
kind: Route
# ...
spec:
  httpHeaders:
    actions:
      response:
      - name: X-Frame-Options
        action:
          type: Set
          set:
            value: SAMEORIGIN

当 IngressController spec 和 Route spec 都配置 X-Frame-Options 标头时，Ingress Controller 中的全局级别为这个标头设置的值将具有优先权，即使一个特定的路由允许帧。对于请求标头，Route spec 值会覆盖 IngressController spec 值。

发生这个优先级，因为 haproxy.config 文件使用以下逻辑，其中 Ingress Controller 被视为前端，单独的路由被视为后端。应用到前端配置的标头值 DENY 使用后端中设置的值 SAMEORIGIN 覆盖相同的标头：

frontend public
  http-response set-header X-Frame-Options 'DENY'

frontend fe_sni
  http-response set-header X-Frame-Options 'DENY'

frontend fe_no_sni
  http-response set-header X-Frame-Options 'DENY'

backend be_secure:openshift-monitoring:alertmanager-main
  http-response set-header X-Frame-Options 'SAMEORIGIN'

另外，Ingress Controller 或路由中定义的任何操作都覆盖使用路由注解设置的值。

特殊情况标头: 以下标头可能会阻止完全被设置或删除，或者在特定情况下允许：

Expand

表 1.2. 特殊情况标头配置选项
标头名称	使用 `IngressController` spec 进行配置	使用 `Route` 规格进行配置	禁止的原因	使用其他方法进行配置
`proxy`	否	否	`proxy` HTTP 请求标头可以通过将标头值注入 `HTTP_PROXY` 环境变量来利用这个安全漏洞的 CGI 应用程序。`proxy` HTTP 请求标头也是非标准的，在配置期间容易出错。	否
`主机`	否	是	当使用 `IngressController` CR 设置 `host` HTTP 请求标头时，HAProxy 在查找正确的路由时可能会失败。	否
`strict-transport-security`	否	否	`strict-transport-security` HTTP 响应标头已使用路由注解处理，不需要单独的实现。	是： `haproxy.router.openshift.io/hsts_header` 路由注解
`cookie` 和 `set-cookie`	否	否	HAProxy 集的 Cookie 用于会话跟踪，用于将客户端连接映射到特定的后端服务器。允许设置这些标头可能会影响 HAProxy 的会话关联，并限制 HAProxy 的 Cookie 的所有权。	是： `haproxy.router.openshift.io/disable_cookie` 路由注解 `haproxy.router.openshift.io/cookie_name` 路由注解

1.3.2. HTTP 标头配置

学习

尝试、购买和销售

社区

關於紅帽

让开源更具包容性

关于红帽文档

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links