使用 Istio EnvoyFilter 检查标头是否包含有效令牌

我需要验证是否提供了正确值的自定义标头。如果没有，则要拒绝访问该服务并生成带有消息的 401。

我已经能够为此创建 Istio AuthorizationPolicy，但它会给我 403，这并不完全正确，但我想要正确并给予 401。

到目前为止，这是我尝试的内容，不幸的是它对我发送的请求没有任何影响（我不是 envoy 或 lua 专家，请您谅解）：

apiVersion: networking.istio.io/v1alpha3
kind: EnvoyFilter
metadata:
  name: custom-filter
  namespace: dev
spec:
  workloadSelector:
    labels:
      istio: ingressgateway
  configPatches:
  - applyTo: NETWORK_FILTER # http connection manager 表示 Envoy 中的一个过滤器
    match:
      context: GATEWAY
      listener:
        filterChain:
          filter:
            name: "envoy.http_connection_manager"
    patch:
      operation: MERGE
      value: # lua 过滤器规范
        name: envoy.lua
        typed_config:
          "@type": "type.googleapis.com/envoy.config.filter.http.lua.v2.Lua"
          inlineCode: |
            function envoy_on_request(request_handle)
              if request_handle:headers():get("auth_token") != "xxx" then
                request_handle:respond({[":status"] = "401"}, "nope")
              end
            end

会产生 403 并且我希望用上面的方法替换的工作 AuthorizationPolicy：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: deny-method-get
  namespace: dev
spec:
  selector:
    matchLabels:
      app: myapp
  action: DENY
  rules:
  - when:
    - key: request.headers[auth_token]
      notValues: ["xxx"]