无需JWT的Spring Cloud Gateway与OAuth2集成：网关与微服务间令牌中继可行性问询

当然可以！令牌中继（Token Relay）完全不依赖JWT格式的令牌——只要网关能持有有效的OAuth2访问令牌（哪怕是不透明令牌），就能把这个令牌转发给下游的Spring Boot微服务。下面给你拆解具体的实现思路和关键配置：

核心逻辑 #

OAuth2的访问令牌分两种：JWT（自包含令牌）和不透明令牌（Opaque Token）。你的Bob's OAuth服务签发的就是后者，这类令牌本身不携带用户信息，但网关依然可以通过HTTP请求头（通常是Authorization: Bearer <token>）把它转发给微服务，由微服务去授权服务验证令牌有效性并获取用户信息。

具体实现步骤 #

1. Spring Cloud Gateway配置OAuth2客户端与令牌中继 #

首先要把网关配置成OAuth2客户端，对接Bob's OAuth的授权、令牌端点，同时开启令牌中继功能：

spring:
  cloud:
    gateway:
      routes:
        - id: user-service-route
          uri: lb://user-service
          predicates:
            - Path=/user/**
          filters:
            - TokenRelay= # 开启令牌中继，自动转发访问令牌
        - id: order-service-route
          uri: lb://order-service
          predicates:
            - Path=/order/**
          filters:
            - TokenRelay=
  security:
    oauth2:
      client:
        registration:
          bobs-oauth:
            client-id: your-client-id
            client-secret: your-client-secret
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/bobs-oauth"
            scope: openid,profile,user_info
        provider:
          bobs-oauth:
            authorization-uri: http://bobsoauth.com/oauth2/authorize
            token-uri: http://bobsoauth.com/oauth2/token
            user-info-uri: http://bobsoauth.com/oauth2/userdata
            user-name-attribute: username # 根据userdata返回的用户字段调整

2. 微服务端验证令牌 #

因为是不透明令牌，微服务收到网关转发的令牌后，需要主动调用Bob's OAuth服务验证有效性：

• 如果Bob's OAuth提供了令牌 introspect 端点，直接配置Spring Security的资源服务器即可：

spring:
  security:
    oauth2:
      resourceserver:
        opaque-token:
          introspection-uri: http://bobsoauth.com/oauth2/introspect # 若授权服务支持此端点
          client-id: service-client-id
          client-secret: service-client-secret

• 如果没有introspect端点，也可以自定义拦截器，调用http://bobsoauth.com/oauth2/userdata端点，带上令牌请求——只要能返回合法的用户信息，就说明令牌有效。

关键注意事项 #

• 令牌缓存优化：每次微服务验证令牌都调用授权服务会影响性能，建议在网关或微服务层添加令牌缓存，缓存已验证过的令牌及其有效期。
• 过期处理：网关可以利用OAuth2客户端的自动刷新令牌机制（如果授权服务支持refresh token），避免令牌过期导致请求失败。
• 通信安全：网关与微服务之间建议使用HTTPS，防止令牌在传输过程中被窃取。

内容的提问来源于stack exchange，提问作者Jason