如何将一个微服务中的Spring Security配置集成到另一微服务中？

核心逻辑 #

userService作为认证中心负责生成包含用户角色的Token，taskService通过共享的验证密钥/规则完成Token合法性校验与角色权限判断，无需直接读取userService的配置文件。

步骤1：统一Token生成规则（userService侧） #

• 在登录接口（api/v1/login）验证用户身份后，生成JWT Token，将用户角色（如STUDENT）写入Token的claims字段
• 确保Token使用对称加密密钥（生产环境推荐非对称加密的RSA密钥对），该密钥需在userService和taskService的配置文件中同步配置，示例：

  # 两个服务的application.properties均需配置
  jwt.secret=your-shared-secure-key
  jwt.expiration=86400000
  

步骤2：taskService集成JWT验证过滤器 #

• 引入Spring Security依赖，编写JWT拦截过滤器，处理所有请求的Token验证：
  1. 从请求头Authorization: Bearer <token>中提取Token
  2. 使用共享密钥验证Token的签名、过期时间等合法性
  3. 解析Token中的角色信息，将用户身份存入Spring Security上下文
• 核心代码示例：

  public class JwtAuthFilter extends OncePerRequestFilter {
      private final JwtTokenValidator tokenValidator;
  
      @Override
      protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {
          String token = extractToken(request);
          if (token != null && tokenValidator.isValid(token)) {
              Authentication auth = tokenValidator.getAuthFromToken(token);
              SecurityContextHolder.getContext().setAuthentication(auth);
          }
          chain.doFilter(request, response);
      }
  
      private String extractToken(HttpServletRequest request) {
          String bearerToken = request.getHeader("Authorization");
          if (StringUtils.hasText(bearerToken) && bearerToken.startsWith("Bearer ")) {
              return bearerToken.substring(7);
          }
          return null;
      }
  }
  

步骤3：taskService配置角色权限控制 #

• 在Spring Security配置类中，指定api/v1/student接口仅允许STUDENT角色访问：

  @Configuration
  @EnableWebSecurity
  public class TaskSecurityConfig {
      @Bean
      public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
          http.csrf().disable()
              .authorizeHttpRequests(auth -> auth
                  .requestMatchers("/api/v1/student").hasRole("STUDENT")
                  .anyRequest().authenticated()
              )
              .addFilterBefore(jwtAuthFilter(), UsernamePasswordAuthenticationFilter.class);
          return http.build();
      }
  
      @Bean
      public JwtAuthFilter jwtAuthFilter() {
          return new JwtAuthFilter(jwtTokenValidator());
      }
  
      @Bean
      public JwtTokenValidator jwtTokenValidator() {
          return new JwtTokenValidator(jwtSecret, jwtExpiration);
      }
  }
  

完整流程说明 #

当学生调用taskService的api/v1/student接口时：

1. 请求携带从userService登录获取的Token，放在Authorization请求头中
2. taskService的JWT过滤器拦截请求，验证Token合法性
3. 验证通过后，解析Token中的角色信息，将用户身份注入Spring Security上下文
4. Spring Security根据配置检查当前用户是否拥有STUDENT角色，允许或拒绝请求

关键注意事项 #

• 避免跨服务调用userService做验证（性能低且耦合高），优先本地验证Token
• 生产环境建议用RSA非对称加密：userService用私钥签名Token，taskService用公钥验证
• 两个服务的角色名称需完全一致（如统一用STUDENT，避免大小写或命名差异）

内容的提问来源于stack exchange，提问作者Gokul Krishnan J