envoyproxy/envoy

oauth2: configurable safety margin to expire cookies before the contained tokens expire

Aperta

#45.749 aperta il 22 giu 2026

Vedi su GitHubGuida contributor
 (2 commenti) (0 reazioni) (0 assegnatari)C++ (5373 fork)batch import
area/oauthenhancementhelp wanted

Metriche repository

Star
 (27.997 stelle)
Metriche merge PR
 (Merge medio 8g) (378 PR mergiate in 30 g)

Descrizione

Title: oauth2: configurable safety margin to expire cookies before the contained tokens expire

Description:

Add a configurable safety margin to the OAuth2 HTTP filter so that the browser cookies it sets expire slightly earlier than the tokens they carry. This is the mirror of the jwt_authn filter's clock_skew_seconds. It shortens cookie validity so a request never arrives at the upstream.

This will prevent errors when the request processing takes seconds or a minute, and the upstream service invokes other services on behalf of the browser user, using the JWT injected by the OAuth2 filter. Using clock_skew_seconds does not help because the initial request gets accepted by the OAuth2 filter

A proposal:

  http_filters:
  - name: envoy.filters.http.oauth2
    typed_config:
      "@type": type.googleapis.com/envoy.extensions.filters.http.oauth2.v3.OAuth2
      config:
        # ...
        # Expire/treat the auth cookies as invalid this many seconds before the
        # contained token actually expires. Forces re-auth/refresh proactively.
        cookie_expiry_margin: 30s   # name TBD

Guida contributor

Direzione di ricerca
Esamina l'implementazione esistente del filtro OAuth2 in Envoy (source/extensions/filters/http/oauth2/) per capire come vengono impostati e scaduti i cookie. Identifica i punti in cui la scadenza del token viene utilizzata per impostare la scadenza del cookie. Quindi, aggiungi una nuova opzione di configurazione 'cookie expiry margin' e implementa la logica per sottrarre il margine dalla scadenza del token quando si imposta la scadenza del cookie. Assicurati che la configurazione sia convalidata e aggiorna le definizioni protobuf pertinenti.
Tech stack
cpp
Dominio
backendauthentication
Tipo issue
Funzionalità
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-2 giorni
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Chiara
Prerequisiti
C++GitBazel
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
65