“Naeel”
e761439546
- trigger: CronJob moved to deployNS (sless-fn-{userNS}), was tr.Namespace
Reason: with NetworkPolicy default-deny, pod in user-ns can't reach
Service in sless-fn-ns. Co-locating CronJob with Service guarantees
connectivity regardless of NetworkPolicy configuration.
handleTriggerDeletion updated consistently.
- trigger: pin curlimages/curl to 8.5.0 (was :latest)
Reason: reproducibility, no unexpected behavior changes from image updates.
- function: sort env vars in buildDeployment (was non-deterministic map range)
Reason: non-deterministic order caused k8s to detect container spec 'change'
on every reconcile → unnecessary pod restarts. Sorted order is stable.
- function: cleanup kaniko Job in handleDeletion
Reason: if Function deleted during Building phase, kaniko Job continued
running, wasting CPU/memory and pushing an unused image.
- invoke: filter hop-by-hop headers in proxy response (RFC 2616 §13.5.1)
Reason: Transfer-Encoding especially dangerous — forwarding it corrupts
response body framing for the client.
- config: SLESS_API_TOKEN no longer required
Reason: dead code — field loaded but never passed to any component.
Auth uses validateJWT() middleware, not static token.
Namespace lifecycle: user namespaces preserved on destroy (not changed).
E2E: apply 4 resources + destroy clean. Operator v0.1.22 deployed.
102 lines
4.3 KiB
Go
102 lines
4.3 KiB
Go
// Изменено: 2026-03-11
|
|
// invoke.go — прокси-обработчик для вызова HTTP-триггеров функций.
|
|
// Маршрут: ANY /fn/{namespace}/{name} и /fn/{namespace}/{name}/**
|
|
// Не защищён auth-токеном — это публичный эндпоинт для вызова функций.
|
|
// Проксирует запрос к ClusterIP Service функции внутри кластера:
|
|
// http://{name}.sless-fn-{namespace}.svc.cluster.local:8080
|
|
// Sub-path и query string пробрасываются как есть:
|
|
// /fn/ns/notes/add?title=x → http://notes.sless-fn-ns.svc.../add?title=x
|
|
|
|
package handler
|
|
|
|
import (
|
|
"fmt"
|
|
"io"
|
|
"net/http"
|
|
"strings"
|
|
"time"
|
|
|
|
"github.com/gorilla/mux"
|
|
)
|
|
|
|
// httpClient используется для обращения к функциям внутри кластера.
|
|
// Таймаут 30s — достаточно для холодного старта функции.
|
|
var httpClient = &http.Client{Timeout: 30 * time.Second}
|
|
|
|
// hopByHopHeaders — заголовки которые нельзя пробрасывать через прокси (RFC 2616 §13.5.1).
|
|
// Они управляют соединением между двумя узлами, а не end-to-end.
|
|
// Особо опасен Transfer-Encoding: если пробросить его, клиент неверно интерпретирует тело.
|
|
var hopByHopHeaders = map[string]bool{
|
|
"Connection": true,
|
|
"Keep-Alive": true,
|
|
"Proxy-Authenticate": true,
|
|
"Proxy-Authorization": true,
|
|
"Te": true,
|
|
"Trailers": true,
|
|
"Transfer-Encoding": true,
|
|
"Upgrade": true,
|
|
}
|
|
|
|
// InvokeFunction проксирует входящий запрос к Service функции в кластере.
|
|
// Namespace выбирается из пути, имя функции — тоже из пути.
|
|
// Сохраняет метод, тело, Content-Type, sub-path и query string.
|
|
func (h *Handler) InvokeFunction(w http.ResponseWriter, r *http.Request) {
|
|
vars := mux.Vars(r)
|
|
ns := vars["namespace"]
|
|
name := vars["name"]
|
|
|
|
// Вычисляем sub-path после /fn/{namespace}/{name}
|
|
// Например: /fn/default/notes/add → subPath = /add
|
|
prefix := "/fn/" + ns + "/" + name
|
|
subPath := strings.TrimPrefix(r.URL.Path, prefix)
|
|
|
|
// Внутренний URL к Service функции (DNS внутри кластера)
|
|
target := fmt.Sprintf("http://%s.sless-fn-%s.svc.cluster.local:8080%s", name, ns, subPath)
|
|
|
|
// Пробрасываем query string если есть
|
|
if r.URL.RawQuery != "" {
|
|
target += "?" + r.URL.RawQuery
|
|
}
|
|
|
|
// Создаём проксируемый запрос с тем же методом и телом
|
|
proxyReq, err := http.NewRequestWithContext(r.Context(), r.Method, target, r.Body)
|
|
if err != nil {
|
|
h.Log.Error("invoke: failed to create proxy request", "err", err, "ns", ns, "fn", name)
|
|
writeJSON(w, http.StatusInternalServerError, errResp("failed to create proxy request"))
|
|
return
|
|
}
|
|
|
|
// Пробрасываем Content-Type если есть
|
|
if ct := r.Header.Get("Content-Type"); ct != "" {
|
|
proxyReq.Header.Set("Content-Type", ct)
|
|
}
|
|
|
|
resp, err := httpClient.Do(proxyReq)
|
|
if err != nil {
|
|
// "no such host" — Service не существует (функция удалена), возвращаем 404.
|
|
// Это отличается от временной сетевой ошибки: NXDOMAIN строго означает отсутствие записи.
|
|
if strings.Contains(err.Error(), "no such host") {
|
|
writeJSON(w, http.StatusNotFound, errResp("function not found"))
|
|
return
|
|
}
|
|
h.Log.Error("invoke: function unreachable", "err", err, "ns", ns, "fn", name, "target", target)
|
|
writeJSON(w, http.StatusBadGateway, errResp("function unreachable: "+err.Error()))
|
|
return
|
|
}
|
|
defer resp.Body.Close()
|
|
|
|
// Копируем заголовки и статус из ответа функции.
|
|
// Hop-by-hop заголовки фильтруем: они управляют конкретным TCP-соединением
|
|
// и не должны пробрасываться через прокси (RFC 2616 §13.5.1).
|
|
for k, vals := range resp.Header {
|
|
if hopByHopHeaders[k] {
|
|
continue
|
|
}
|
|
for _, v := range vals {
|
|
w.Header().Add(k, v)
|
|
}
|
|
}
|
|
w.WriteHeader(resp.StatusCode)
|
|
_, _ = io.Copy(w, resp.Body)
|
|
}
|