envoyproxy/envoy

ext_authz(http): Envoy turns AuthorizationResponse status 500 into 403 and drops body

Open

#14.001 aperta il 12 nov 2020

Vedi su GitHub
 (27 commenti) (0 reazioni) (0 assegnatari)C++ (5373 fork)batch import
area/ext_authzhelp wanted

Metriche repository

Star
 (27.997 star)
Metriche merge PR
 (Merge medio 8g) (378 PR mergiate in 30 g)

Descrizione

Title: ext_authz(http): Envoy turns AuthorizationResponse status 500 into 403 and drops body

Description:

  1. User makes an HTTP request against Envoy.
  2. Envoy makes AuthorizationRequest to ext_authz filter's http server.
  3. ext_authz server replies with 503 and a body.
  4. Envoy returns 403 and no body.

Repro steps: This came up as part of a project so it's easier to include instructions for that project:

# Clone and checkout branch made for reproducing this issue (see last commit)
git clone git@github.com:arrikto/oidc-authservice.git
cd oidc-authservice
git checkout feature-envoy-ext-authz-repo

# Run the E2E test to get a K3d cluster up with everything running.
# The test will fail, but it's expected.
make bin/deps
make e2e

# Port-forward the service locally
export KUBECONFIG=$HOME/.k3d/kubeconfig-e2e-test-cluster.yaml
kubectl port-forward -n istio-system svc/istio-ingressgateway 8080:80

# Make a request and see that it returns a 403
curl -v http://localhost:8080

Config: Here is the config dump taken from port 15000 of the istio ingressgateway proxy: config_dump.log

Logs: access_log.log

Guida contributor

Direzione di ricerca
Indaga sulla gestione delle risposte non 2xx dal server di autorizzazione da parte del filtro HTTP ext authz, in particolare la conversione da 503 a 403 e l'eliminazione del corpo della risposta. Rivedi il codice sorgente in source/extensions/filters/http/ext authz/ e cerca la logica di mappatura dei codici di stato. Controlla il dump di configurazione e il log di accesso forniti per i dettagli. Esamina il repository di riproduzione collegato (arrikto/oidc authservice) per la configurazione specifica. Considera i commenti nell'issue per eventuali correzioni o soluzioni alternative proposte.
Tech stack
cpp
Dominio
backend
Tipo issue
Bug
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
Mezza giornata
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
C++EnvoyHTTP
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
40