为Micronaut+GraphQL后端配置Okta认证及控制器授权

前置背景 #

你的Angular JS SPA已完成Okta授权配置，后端Micronaut服务通过micronaut-security-jwt库实现了Bearer Token验证（application.yml已正确配置Okta的issuer和JWKS密钥地址），当前仅需为GraphQL控制器添加安全注解来保护接口。

具体实现步骤 #

1. 确认依赖完整性 #

确保项目构建文件中已引入micronaut-security-jwt和micronaut-graphql相关依赖：

// build.gradle 示例
implementation("io.micronaut.security:micronaut-security-jwt")
implementation("io.micronaut.graphql:micronaut-graphql")

2. 为GraphQL控制器添加Secured注解 #

Micronaut的GraphQL控制器通常使用@GraphQLApi注解标识，你可以在类或方法级别添加@Secured注解实现权限控制：

示例1：类级别全局保护

所有GraphQL查询/突变都要求用户已认证：

import io.micronaut.security.annotation.Secured;
import io.micronaut.security.rules.SecurityRule;
import io.micronaut.graphql.annotation.GraphQLApi;
import io.micronaut.graphql.annotation.GraphQLQuery;

@GraphQLApi
@Secured(SecurityRule.IS_AUTHENTICATED)
public class AppGraphQLController {

    @GraphQLQuery
    public String getAppInfo() {
        return "Authenticated user access only";
    }
}

示例2：方法级别细粒度控制

针对不同GraphQL操作设置不同权限：

@GraphQLApi
public class AppGraphQLController {

    // 允许匿名访问
    @GraphQLQuery
    @Secured(SecurityRule.IS_ANONYMOUS)
    public String getPublicInfo() {
        return "Public content";
    }

    // 仅允许已认证用户访问
    @GraphQLQuery
    @Secured(SecurityRule.IS_AUTHENTICATED)
    public String getUserProfile() {
        return "User private profile";
    }

    // 仅允许拥有指定Okta角色的用户访问
    @GraphQLQuery
    @Secured("ROLE_ADMIN")
    public String getAdminDashboard() {
        return "Admin-only content";
    }
}

3. 额外配置提示 #

• 如果需要自定义角色映射（比如将Okta返回的groups声明转为Micronaut识别的角色），可在application.yml中添加：

security:
  jwt:
    roles-name: groups # 指定Token中存储角色的声明字段

• 测试时，使用Angular SPA获取的Bearer Token发起GraphQL请求：无有效Token会返回401，Token有效且权限匹配则正常返回数据。

内容的提问来源于stack exchange，提问作者ted