Apache TrafficServer 9.2.8版本中插件执行顺序问题分析与解决方案

问题背景

在Apache TrafficServer（ATS）从8.1.11升级到9.2.8版本后，用户遇到了一个关键的插件执行顺序问题。该问题主要影响header_rewrite插件在请求处理流程中的行为，导致系统认证流程出现异常。

问题现象

在原有8.1.11版本中，通过header_rewrite插件配置的Host头修改能够正常工作：

cond %{SEND_REQUEST_HDR_HOOK}
set-header Host "trafficserfqdn"

但在升级到9.2.8版本后，该配置不再生效。具体表现为：

1. 请求首先被发送到认证服务器
2. 重映射规则在插件之前执行
3. 认证服务器返回的重定向URI使用了IHS URL而非TrafficServer URL
4. 这导致了CSRF（跨站请求伪造）攻击风险

技术分析

架构说明

用户的系统架构为三层结构：

1. 前端：Apache TrafficServer
2. 中间层：IBM HTTP Server (IHS)
3. 后端：实际应用服务器

认证流程本应为：

ATS → IHS → 应用 → 认证服务器 → 返回ATS → IHS → 应用

但在9.2.8版本中变为：

ATS → IHS → 应用 → 认证服务器 → 直接返回IHS → 应用

版本差异

关键差异在于9.2.8版本中执行顺序的变化：

• 8.1.11版本：插件执行先于重映射
• 9.2.8版本：重映射执行先于插件

这种变化导致header_rewrite插件设置的Host头未能及时生效，影响了后续的认证流程。

解决方案探索

方案一：使用Lua插件替代

由于header_rewrite插件在9.2.8中行为变化，尝试使用Lua插件实现相同功能：

1. Lua脚本基础实现

function do_remap()
    ts.client_request.header['Host'] = 'trafficserverurl'
    return 0
end

2. 更完整的请求/响应处理

function send_request()
    ts.server_request.header["Host"] = "trafficserverurl"
end

function send_response()
    local jsa = ts.client_response.header['x-jsa-authorization-redirect']
    jsa = string.gsub(jsa, 'ihsurl', 'trafficserverfqdn')
    ts.client_response.header['x-jsa-authorization-redirect'] = jsa
end

function do_remap()
    ts.hook(TS_LUA_HOOK_SEND_REQUEST_HDR, send_request)
    ts.hook(TS_LUA_HOOK_SEND_RESPONSE_HDR, send_response)
    return 0
end

方案二：调整配置参数

尝试修改records.config中的相关参数：

proxy.config.url_remap.pristine_host_hdr 0

这个参数控制是否保留原始Host头，设置为0可能解决部分问题。

方案三：混合使用插件

结合header_rewrite和Lua插件：

1. 继续使用header_rewrite设置基本Host头
2. 使用Lua插件处理特定的响应头修改

实施建议

1. Lua插件部署注意事项

• 确保系统已安装luajit和luajit-devel
• 编译ATS时需要指定--with-luajit参数
• 验证插件是否正常加载

2. 调试技巧

• 在Lua脚本中添加日志输出
• 检查ATS的diags.log和traffic.out日志
• 使用curl -v命令验证请求头变化

3. 性能考虑

• 避免在生产环境频繁进行文件I/O日志记录
• 考虑使用ATS内置的调试功能

总结

Apache TrafficServer 9.2.8版本在插件执行顺序上的变化导致了header_rewrite插件行为的改变。通过采用Lua插件替代方案，可以更灵活地控制请求和响应头的修改。建议用户在升级前充分测试插件兼容性，并考虑使用更现代的插件机制来实现关键业务逻辑。

对于复杂的代理和重定向场景，理解ATS的请求处理流程和钩子机制至关重要。本文提供的解决方案不仅解决了当前问题，也为处理类似场景提供了可扩展的框架。