我在kubernetes集群中使用Ingress Nginx。我使用Keycloak管理用户和组，以及oauth2-proxy。我过滤了一些资源的访问，例如：
用户必须属于group 1才能访问my.app.com/resources/group1/page.html
我能够通过此入口强制执行组检查，按预期工作：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    nginx.ingress.kubernetes.io/use-regex: "true"
    nginx.ingress.kubernetes.io/rewrite-target: /$2
    nginx.ingress.kubernetes.io/auth-url: "https://###/oauth2/auth?allowed_groups=group1"    
    nginx.ingress.kubernetes.io/auth-signin: "https://###/oauth2/start?rd=$escaped_request_uri"
  name: app
spec:
  ingressClassName: nginx
  rules:
  - host:###
    http:
      paths:
      - path: /resources/group1/(/|$)(.*)
        pathType: Prefix
        backend:
          service:
            name: app
            port:
              number: 80

我将不得不为每个组复制这个入口，并为以后添加的每个新组......我正在寻找一种方法来输入组作为auth-url路径的参数。我试过：

nginx.ingress.kubernetes.io/auth-url: "https://###/oauth2/auth?allowed_groups=$3"    
...
         path: /resources(/|$)((\w*)(/|$)(.*))

但是当我检查发送到oauth2的请求时，allowed_groups是空的。尝试使用$2，$3，$4......似乎我不能在这个注解中使用正则表达式。
我该怎么做呢？