Google OAuth2资源服务器角色传输前端安全问题咨询

核心思路 #

所有权限校验逻辑必须放在后端，前端仅做UI层面的展示优化。前端返回的角色信息只是用于提升用户体验，真正的接口访问权限完全由后端拦截器控制——就算有人篡改前端的角色数据，后端也会基于数据库存储的真实角色做校验，直接拒绝非法请求。

后端具体实现步骤 #

1. 自定义JWT转换器，注入数据库中的用户角色

Google的JWT本身不带角色信息，我们需要在后端校验JWT合法性后，从数据库中根据用户的唯一标识（Google JWT里的sub字段）查询角色，再把角色转换成Spring Security能识别的GrantedAuthority，注入到SecurityContext中。

先实现自定义JWT转换器：

package com.example.ressource_server.config;

import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.SimpleGrantedAuthority;
import org.springframework.security.oauth2.jwt.Jwt;
import org.springframework.security.oauth2.server.resource.authentication.JwtAuthenticationConverter;
import org.springframework.stereotype.Component;

import java.util.Collection;
import java.util.List;
import java.util.stream.Collectors;

@Component
public class CustomJwtAuthConverter extends JwtAuthenticationConverter {

    private final UserService userService;

    public CustomJwtAuthConverter(UserService userService) {
        this.userService = userService;
    }

    @Override
    protected Collection<GrantedAuthority> extractAuthorities(Jwt jwt) {
        // 从Google JWT中获取用户唯一标识sub
        String userId = jwt.getSubject();
        // 从数据库查询该用户的角色列表
        List<String> roles = userService.getUserRolesById(userId);
        // 转换为Spring Security的GrantedAuthority，注意加ROLE_前缀（适配hasRole规则）
        return roles.stream()
                .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
                .collect(Collectors.toList());
    }
}

然后修改SecurityConfig，配置这个自定义转换器：

package com.example.ressource_server.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    private final CustomJwtAuthConverter customJwtAuthConverter;

    public SecurityConfig(CustomJwtAuthConverter customJwtAuthConverter) {
        this.customJwtAuthConverter = customJwtAuthConverter;
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity httpSecurity) throws Exception{
        httpSecurity.oauth2ResourceServer(r -> 
            r.jwt(jwtConfigurer -> 
                jwtConfigurer.jwkSetUri("https://www.googleapis.com/oauth2/v3/certs")
                            .jwtAuthenticationConverter(customJwtAuthConverter) // 绑定自定义转换器
            )
        );
        // 细化接口权限控制，避免仅用authenticated()
        httpSecurity.authorizeHttpRequests(auth -> 
            auth.requestMatchers("/admin/**").hasRole("ADMIN")
                .requestMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .anyRequest().authenticated()
        );
        return httpSecurity.build();
    }
}

2. 严格细化接口权限规则

不要对所有请求只做authenticated()校验，要给不同接口路径配置对应角色权限。比如后台管理接口仅允许ADMIN访问，用户个人接口允许USER和ADMIN访问——就算前端篡改角色，请求/admin接口时后端会直接返回403。

3. 禁止依赖前端传递的角色做校验

后端所有权限判断，必须基于SecurityContext中的Authorities（即从数据库加载的真实角色），绝对不能从前端请求参数/请求体中获取角色信息做校验。

前端侧辅助优化（非安全核心） #

• 可以用后端返回的角色信息渲染UI，比如隐藏无权限的菜单或按钮，提升用户体验，但要明确这只是“展示层面”的控制，不是安全控制。
• 前端路由守卫可做一层拦截，但仅能拦截正常操作，无法阻止用户直接构造请求访问接口，核心安全保障仍在后端。

内容的提问来源于stack exchange，提问作者ELMOURABIT OJ