Spring Boot资源服务器认证后报错'tokenValue cannot be empty'及BFF模式咨询

• 安全性：
  该架构安全且合理。Spring Cloud Gateway作为BFF层统一处理OAuth认证，隔离前端与后端资源服务器，缩小攻击面；Token Relay机制让令牌仅在网关与资源服务器间传递，前端无需存储refresh token这类敏感令牌，降低泄露风险；Keycloak作为成熟的授权服务器，提供标准OAuth2/OIDC流程，支持令牌签名、过期控制、细粒度权限管理，进一步保障认证安全。
  需注意：网关要严格校验令牌的签名、过期时间、受众，避免无效/伪造令牌被转发；资源服务器必须启用JWT验证，仅接受合法令牌。
• 架构合理性：
  前端只需对接网关，无需处理复杂OAuth流程，简化开发；网关统一承担路由、认证、限流、日志等横切逻辑，资源服务器专注业务实现，职责清晰；后续适配多端（如React Web、移动端）时，网关可灵活调整认证策略，扩展性强。

问题原因 #

1. 过滤器执行两次：
   第一次是正常业务请求/，认证成功后若触发业务异常或Spring Boot默认错误处理机制，会自动转发到/error端点生成错误响应，导致过滤器链再次执行。
2. /error请求令牌丢失：
   网关的Token Relay仅为原始业务请求添加Authorization头，而内部跳转的/error请求不会携带该头；若资源服务器的安全过滤器未排除/error端点，就会因无令牌触发tokenValue cannot be empty异常，同时安全上下文未初始化，最终返回500错误。

解决方案 #

• 排除/error端点的安全校验
  在资源服务器的Spring Security配置中，将/error加入放行列表：

  @Configuration
  @EnableResourceServer
  public class ResourceServerConfig extends ResourceServerConfigurerAdapter {
      @Override
      public void configure(HttpSecurity http) throws Exception {
          http.authorizeRequests()
              .antMatchers("/error").permitAll()
              .anyRequest().authenticated();
      }
  }
  

• 在网关层处理错误，避免转发到资源服务器
  配置Spring Cloud Gateway的自定义错误处理，直接在网关返回错误响应：

  spring:
    cloud:
      gateway:
        error:
          status-code:
            mappings:
              - status: 500
                response-status: 500
                message: 服务器内部错误
  

  也可通过实现ErrorWebExceptionHandler接口编写自定义错误处理逻辑。
• 额外检查点
  • 确认资源服务器的JWT配置：Keycloak公钥是否正确、令牌受众（aud）是否与资源服务器client_id匹配，避免因令牌校验失败触发错误跳转。
  • 检查网关Token Relay过滤器的执行顺序，确保所有业务请求都被正确添加Authorization头。

内容的提问来源于stack exchange，提问作者kush parsaniya