Разрешение восходящей обработки запросов cors

Question

Я пытаюсь настроить службу, которая уже обрабатывает запросы CORS, и хотел бы сохранить ее таким образом, а не обрабатывать запрос CORS на пограничном прокси.

Оставив cors пустое поле не помогло.

Есть ли способ добиться этого с помощью Ambassador?

Answer 1

Амбассадор не будет обрабатывать CORS в любом случае, если вы не установите cors параметр в Mapping или Module config.

Даже если это установлено, то, как Envoy обрабатывает CORS, похоже, является поведением, которое вы ищете.

Взглянув на связанный комментарий в этом выпуске https://github.com/envoyproxy/envoy/issues/300, мы можем увидеть, как Envoy решил реализовать свой фильтр CORS. В частности:

5. Присвойте значения заголовкам CORS в ответе: для каждого из заголовков, указанных в таблице 1 выше:

   а. пусть значение будет параметром для конфигурации заголовка

   б. если значение не определено, перейти к следующему заголовку

   c. иначе, напишите заголовок ответа для указанной опции конфигурации

Это означает, что Envoy сначала примет значение заголовков, установленных вышестоящей службой, и запишет их только с настроенными значениями, если они не установлены в ответе.

Вы можете проверить это, создав маршрут к httpbin.org (который обрабатывает CORS) и установив cors параметр в Mapping.

---
apiVersion: getambassador.io/v2
kind: Mapping
metadata:
  name: cors-httpbin
spec:
  prefix: /httpbin/
  service: httpbin.org
  cors:
    origins:
    - http://foo.example
    methods:
    - POST
    - OPTIONS

В Mapping выше следует настроить Envoy для установки access-control-allow-origins а также access-control-allow-methods заголовки в http://foo.example.com а также POSTсоответственно. Однако после отправки тестового запроса на эту конечную точку мы видим, что вместо этого получаем в ответе очень разные заголовки CORS:

curl https://aes.example.com/httpbin/headers -v -H "Origin: http://bar.example.com" -H "Access-Control-Request-Method: GET" -X OPTIONS
*   Trying 34.74.58.157:443...
* Connected to aes.example.com (10.11.12.100) port 443 (#0)
* TLS 1.2 connection using TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
* Server certificate: aes.example.com
* Server certificate: Let's Encrypt Authority X3
* Server certificate: DST Root CA X3
> OPTIONS /httpbin/headers HTTP/1.1
> Host: aes.example.com
> User-Agent: curl/7.69.0
> Accept: */*
> Origin: http://bar.example.com
> Access-Control-Request-Method: GET
> 
* Mark bundle as not supporting multiuse
< HTTP/1.1 200 OK
< date: Thu, 19 Mar 2020 13:25:48 GMT
< content-type: text/html; charset=utf-8
< content-length: 0
< server: envoy
< allow: HEAD, OPTIONS, GET
< access-control-allow-origin: http://bar.example.com
< access-control-allow-credentials: true
< access-control-allow-methods: GET, POST, PUT, DELETE, PATCH, OPTIONS
< access-control-max-age: 3600
< x-envoy-upstream-service-time: 33
< 
* Connection #0 to host aes.example.com left intact

Это связано с тем, что восходящий поток httpbin.org устанавливает эти заголовки в ответе, и поэтому Envoy по умолчанию использует их вместо того, чтобы принудительно использовать конфигурацию CORS, которую мы ему предоставили. Таким образом, Envoy действительно действует по умолчанию для настроек CORS и позволяет восходящим потокам устанавливать более или менее ограничительные конфигурации по своему усмотрению.

Такое поведение может сбивать с толку и вызывать у меня много головной боли, пытаясь понять это. Надеюсь, я помог вам это прояснить.