envoyproxy/envoy

ext_authz(http): Envoy turns AuthorizationResponse status 500 into 403 and drops body

Open

#14 001 ouverte le 12 nov. 2020

Voir sur GitHub
 (27 commentaires) (0 réactions) (0 assignés)C++ (5 373 forks)batch import
area/ext_authzhelp wanted

Métriques du dépôt

Stars
 (27 997 stars)
Métriques de merge PR
 (Merge moyen 8j) (378 PRs mergées en 30 j)

Description

Title: ext_authz(http): Envoy turns AuthorizationResponse status 500 into 403 and drops body

Description:

  1. User makes an HTTP request against Envoy.
  2. Envoy makes AuthorizationRequest to ext_authz filter's http server.
  3. ext_authz server replies with 503 and a body.
  4. Envoy returns 403 and no body.

Repro steps: This came up as part of a project so it's easier to include instructions for that project:

# Clone and checkout branch made for reproducing this issue (see last commit)
git clone git@github.com:arrikto/oidc-authservice.git
cd oidc-authservice
git checkout feature-envoy-ext-authz-repo

# Run the E2E test to get a K3d cluster up with everything running.
# The test will fail, but it's expected.
make bin/deps
make e2e

# Port-forward the service locally
export KUBECONFIG=$HOME/.k3d/kubeconfig-e2e-test-cluster.yaml
kubectl port-forward -n istio-system svc/istio-ingressgateway 8080:80

# Make a request and see that it returns a 403
curl -v http://localhost:8080

Config: Here is the config dump taken from port 15000 of the istio ingressgateway proxy: config_dump.log

Logs: access_log.log

Guide contributeur

Direction de recherche
Examinez la gestion des réponses non 2xx du serveur d'autorisation par le filtre HTTP ext authz, en particulier la conversion de 503 en 403 et la suppression du corps de la réponse. Passez en revue le code source dans source/extensions/filters/http/ext authz/ et recherchez la logique de mappage des codes d'état. Vérifiez le dump de configuration et le journal d'accès fournis pour plus de détails. Examinez le dépôt de reproduction lié (arrikto/oidc authservice) pour la configuration spécifique. Prenez en compte les commentaires dans l'issue pour toute correction ou solution de contournement proposée.
Stack technique
cpp
Domaine
backend
Type d'issue
Bug
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
3
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
Une demi journée
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Claire
Prérequis
C++EnvoyHTTP
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
40