nginx ingress 生产配置需兼顾便捷与安全，核心在于分级管控注解权限、按域名粒度管理证书、精确路径匹配与校验、确保热更新可观测可验证。
便捷和安全在 Nginx Ingress 配置中从来不是非此即彼的选择，而是需要在具体环节做取舍与加固。关键不在于“要不要用某功能”，而在于“怎么用才可控”。下面几个生产中最常失衡的点，直接决定集群入口是否既好用又可靠。
注解权限必须分级管控
像 configuration-snippet、server-snippet 这类注解能快速实现定制逻辑，但也是最常被滥用的入口。4.12.1 版本起已默认禁用高风险注解，不是限制能力，而是倒逼规范落地。
- 全局禁用 snippet 类注解，仅对确有需求的命名空间通过 allow-snippet-annotations: true 显式开启
- 在 CI/CD 流水线中加入注解白名单校验，拦截含
proxy_pass、include、exec等关键字的配置 - 把 nginx.ingress.kubernetes.io/annotations-risk-level 注解作为强制字段，要求每次使用都标注风险等级
证书管理要避免“一把通配符走天下”
用 *.example.com 看似省事，但会带来域名冲突、证书误覆盖、审计难追溯三重问题。金融、电商类客户已普遍转向单域名+自动轮换模式。
- 按 team-service-env.example.com 命名规则分配 Ingress host，配合 cert-manager 的 ClusterIssuer 自动签发
- 所有 TLS 配置统一通过 ingressclass 关联默认证书策略，不依赖单个 Ingress 的 tls 字段硬编码
- 启用 HSTS 头 和 SSL 重定向，并设置 ssl-protocols: "TLSv1.2 TLSv1.3"，禁用弱加密套件
路径路由不能只靠前缀匹配
简单写 path: /api 容易导致子路径错配或服务间劫持。Ingress-NGINX 的 pathType=Prefix 实际是“最长前缀匹配”，不是“精确路径匹配”。
- 对外暴露的路径建议显式收口，例如
/api(/|$)(.*)，防止/apixxx被错误转发 - 启用 use-regex: "true" 并配合 rewrite-target 使用，避免 URI 编码字符（如 %2F）引发 404
- 敏感路径（如
/admin、/debug）通过 whitelist-source-range 或 auth-url 注解做二次校验
热更新必须可观察、可验证
改完 Ingress YAML 就以为生效了？实际可能卡在同步周期、ConfigMap 错误或 Nginx reload 静默失败上。生产环境不能依赖“看起来正常”。
- 将 --sync-period=10s 设为上线基线，避免默认 30 秒以上延迟
- 定期调用 curl -s http://localhost:10245/configuration/backends（Ingress Controller 的健康端点）确认后端列表实时更新
- 在 Prometheus 中监控 nginx_ingress_controller_nginx_reloads_total 和 nginx_ingress_controller_nginx_reload_errors_total，异常值立即告警
