Spring Cloud API Gateway与OAuth2 Server跨域问题及微服务安全咨询

一、Spring Cloud Gateway + OAuth2资源服务器的CORS问题修复 #

你的CORS问题核心原因是Spring Security OAuth2的拦截优先级高于网关全局CORS配置，OPTIONS预检请求被Security的认证拦截，导致网关的CORS头无法正常返回。按以下步骤修复：

1. 在Spring Security配置中放行OPTIONS请求并集成CORS规则
   创建Security配置类，替代yaml中的资源服务器配置（避免重复配置冲突）：

   import org.springframework.context.annotation.Bean;
   import org.springframework.context.annotation.Configuration;
   import org.springframework.http.HttpMethod;
   import org.springframework.security.config.annotation.web.reactive.EnableWebFluxSecurity;
   import org.springframework.security.config.web.server.ServerHttpSecurity;
   import org.springframework.security.web.server.SecurityWebFilterChain;
   import org.springframework.web.cors.CorsConfiguration;
   import org.springframework.web.cors.reactive.CorsConfigurationSource;
   import org.springframework.web.cors.reactive.UrlBasedCorsConfigurationSource;
   
   import java.util.List;
   
   @Configuration
   @EnableWebFluxSecurity
   public class GatewaySecurityConfig {
   
       @Bean
       public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
           http
               // 启用CORS并绑定自定义配置
               .cors(cors -> cors.configurationSource(corsConfigurationSource()))
               .authorizeExchange(exchanges -> exchanges
                   // 放行OPTIONS预检请求，避免被认证拦截
                   .pathMatchers(HttpMethod.OPTIONS).permitAll()
                   // 其他请求必须认证
                   .anyExchange().authenticated()
               )
               .oauth2ResourceServer(oauth2 -> oauth2.jwt(jwt -> jwt
                   .issuerUri("https://securetoken.google.com/<project-id>")
                   .jwkSetUri("https://www.googleapis.com/service_accounts/v1/jwk/securetoken@system.gserviceaccount.com")
               ));
           return http.build();
       }
   
       @Bean
       public CorsConfigurationSource corsConfigurationSource() {
           CorsConfiguration corsConfig = new CorsConfiguration();
           // 允许的前端源
           corsConfig.setAllowedOrigins(List.of("http://localhost:4200"));
           // 允许所有请求方法
           corsConfig.setAllowedMethods(List.of("*"));
           // 允许所有请求头
           corsConfig.setAllowedHeaders(List.of("*"));
           // 如果前端需要携带Cookie等凭证，必须开启此项
           corsConfig.setAllowCredentials(true);
   
           UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
           source.registerCorsConfiguration("/**", corsConfig);
           return source;
       }
   }
   

2. 优化yaml配置（可选）
   若保留网关全局CORS配置，需添加allowCredentials: true避免冲突：

   spring:
     cloud:
       gateway:
         globalcors:
           cors-configurations:
             '[/**]':
               allowedOrigins: "http://localhost:4200"
               allowedMethods: '*'
               allowedHeaders: '*'
               allowCredentials: true
   

二、无API网关时的微服务安全保障方案 #

如果不使用网关，需每个微服务独立实现安全控制，核心思路是每个服务都作为OAuth2资源服务器，强制认证+细粒度权限控制：

• 每个微服务集成OAuth2资源服务器
  每个服务添加类似网关的Security配置，指定JWT的issuer和jwk地址，确保只有携带有效JWT的请求才能访问端点。

• 统一身份认证源
  所有微服务指向同一个OAuth2授权服务器（如你当前使用的Google Firebase Auth），确保JWT签发与验证规则一致。

• 禁用未认证访问
  每个服务的Security配置中必须设置anyExchange().authenticated()，禁止无凭证访问所有端点——这是你当前无网关时无需认证就能访问的核心原因。

• 细粒度权限控制
  在接口方法上添加@PreAuthorize注解，基于JWT中的角色、权限字段实现精准控制，例如：

  @RestController
  @RequestMapping("/api/orders")
  public class OrderController {
  
      @GetMapping
      @PreAuthorize("hasAuthority('SCOPE_read:orders')")
      public List<Order> getOrders() {
          // 业务逻辑
      }
  }
  

• 服务间通信安全
  微服务互相调用时，调用方必须携带有效JWT令牌，可在FeignClient或RestTemplate中统一添加Authorization头，确保服务间请求经过认证。

内容的提问来源于stack exchange，提问作者abus