在Scala/Akka中结合OAuth2实现用户权限控制的正确方案

问题分析 #

你初始尝试中用Route对象作为权限匹配依据的思路不可行：

• Route本质是RequestContext => Future[RouteResult]的函数类型，直接对比对象引用不可靠，同功能的路由可能对应不同实例
• 无法从请求上下文里直接提取当前匹配的Route对象，自然无法完成权限校验

解决方案思路 #

改用权限标识字符串（如"api:certificate"）关联路由与权限，核心步骤：

1. 用字符串标识每个权限，避免依赖Route对象
2. 给用户绑定对应的权限集合（可存储在数据库或内存）
3. 为每个受保护路由附加所需的权限标识
4. 在OAuth认证通过后，校验用户是否拥有当前路由对应的权限

具体实现步骤 #

1. 重构权限模型 #

替换原有的UserPermissions枚举，改用基于字符串标识的权限体系：

// 定义权限常量，用清晰的字符串标识每个权限
object Permissions {
  val API_CERTIFICATE = "api:certificate"
  val ADMIN_ALL = "admin:all"
  val SYSTEM_ALL = "system:all"
}

// 用户-权限映射：实际项目中建议从数据库读取，这里用内存Map示例
private val userPermissions: Map[String, Set[String]] = Map(
  "admin" -> Set(Permissions.ADMIN_ALL, Permissions.API_CERTIFICATE),
  "system" -> Set(Permissions.SYSTEM_ALL, Permissions.API_CERTIFICATE),
  "registration_user" -> Set(Permissions.API_CERTIFICATE)
)

// 根据用户名获取对应权限集合
def getUserPermissions(username: String): Set[String] = {
  userPermissions.getOrElse(username.toLowerCase, Set.empty)
}

2. 修改OAuth认证逻辑 #

原认证逻辑返回Option[Route]，改为返回Option[LoggedInUser]，方便后续权限校验获取用户信息：

def oAuthAuthenticator(credentials: Credentials): Option[LoggedInUser] =
  credentials match {
    case p@Credentials.Provided(_) =>
      val user = loggedInUsers.find(user => p.verify(user.oAuthToken.access_token))
      user.foreach { u =>
        if (u.oneTime) loggedInUsers -= u // 移除一次性令牌
      }
      user
    case _ => None
  }

3. 自定义权限校验指令 #

创建Akka HTTP自定义指令，用于校验用户是否拥有指定权限：

import akka.http.scaladsl.server.Directives._
import akka.http.scaladsl.server._

// 自定义指令：验证用户是否具备指定权限，支持管理员通配权限
def hasPermission(requiredPermission: String): Directive0 = {
  authenticateOAuth2(realm = "api", oAuthAuthenticator).flatMap { loggedInUser =>
    val userPerms = getUserPermissions(loggedInUser.user.username)
    if (userPerms.contains(requiredPermission) || userPerms.contains(Permissions.ADMIN_ALL)) {
      pass // 权限通过，继续执行路由
    } else {
      // 无权限返回403
      complete(ApiResponse().withErrorResponse(ApiErrorResponse(StatusCodes.Forbidden._1, "无访问权限")))
    }
  }
}

4. 为路由添加权限校验 #

在具体路由定义中，用自定义指令绑定所需权限：

object HttpRoutes extends ProtobufMarshalling[CertificateRequest, CertificateResponse] {

  def apply()(implicit actorSystem: ActorSystem[_]): Route = {
    pathPrefix("api") {
      path("certificate") {
        pathEndOrSingleSlash {
          post {
            // 校验用户是否拥有api:certificate权限
            hasPermission(Permissions.API_CERTIFICATE) {
              entity(as[CertificateRequest]) { certificateRequest => 
                complete(SSLManager.registerEncryptedCertificate(certificateRequest)) 
              }
            }
          }
        }
      }
    }
  }
}

5. 更新HydraRoute的路由组合 #

简化受保护路由的定义，将权限校验下沉到具体路由：

class HydraRoute(apiRoute: Route) extends Auth with CORSHandler {

  def masterRoute: Route = {
    concat(
      authRoute,
      protectedRoute,
      pingRoute
    )
  }
  
  // ... 其他路由逻辑保持不变 ...

  private lazy val protectedRoute: Route = {
    // 仅做OAuth身份认证，权限校验由具体路由的hasPermission指令处理
    authenticateOAuth2(realm = "api", oAuthAuthenticator) { _ =>
      apiRoute
    }
  }

}

额外优化建议 #

• 将用户权限存储到数据库，支持动态更新权限配置
• 扩展权限通配符逻辑（如api:*表示所有API路由权限）
• 认证时直接从数据库加载用户权限并缓存，减少后续查询开销

内容的提问来源于stack exchange，提问作者Kris Rice