KrakenD网关实现JWT与Basic Auth兼容授权的方案咨询

方案1：使用条件插件（推荐） #

利用KrakenD的github.com/devopsfaith/krakend-conditional插件，仅当请求头为Bearer类型时触发JWT校验，其他情况直接转发至后端处理Basic Auth。

配置示例 #

{
  "endpoint": "/your/legacy/endpoint",
  "extra_config": {
    "github.com/devopsfaith/krakend-conditional": {
      "condition": "req.Headers.Get(\"Authorization\") ~= ^Bearer ",
      "plugins": [
        {
          "name": "auth/validator",
          "config": {
            "jwk_url": "https://your-jwt-issuer/.well-known/jwks.json",
            "disable_jwt_validation": false,
            "allowed_algorithms": ["RS256"]
          }
        }
      ]
    }
  },
  "backend": [
    {
      "url_pattern": "/your/legacy/endpoint",
      "host": ["your-backend-host"]
    }
  ]
}

逻辑说明 #

• 条件表达式通过正则匹配Authorization头是否以Bearer 开头，匹配成功才执行auth/validator校验
• 若为Basic认证或无Bearer头，直接跳过JWT校验，请求直达后端，由应用处理Basic Auth

方案2：错误处理插件转发失败请求 #

通过github.com/devopsfaith/krakend-error-handling插件，捕获JWT校验失败的401错误，将请求转发至后端而非直接返回错误。

配置示例 #

{
  "endpoint": "/your/legacy/endpoint",
  "extra_config": {
    "auth/validator": {
      "jwk_url": "https://your-jwt-issuer/.well-known/jwks.json",
      "disable_jwt_validation": false
    },
    "github.com/devopsfaith/krakend-error-handling": {
      "errors": [
        {
          "status_code": 401,
          "action": "forward",
          "backend": "your-backend-host"
        }
      ]
    }
  },
  "backend": [
    {
      "url_pattern": "/your/legacy/endpoint",
      "host": ["your-backend-host"]
    }
  ]
}

逻辑说明 #

• auth/validator校验JWT失败时返回401状态码
• 错误处理插件拦截该401错误，将原请求转发至后端，由应用处理Basic Auth逻辑

方案3：自定义Go插件补全逻辑 #

若上述插件无法满足需求，可编写自定义Go插件，在JWT校验失败后清除错误并继续转发请求。

插件示例代码 #

package main

import (
	"context"
	"strings"
	"github.com/luraproject/lura/v2/config"
	"github.com/luraproject/lura/v2/proxy"
)

// NewJWTFallbackProxy 创建自定义中间件
func NewJWTFallbackProxy(_ config.ExtraConfig) proxy.ProxyMiddleware {
	return func(next proxy.Proxy) proxy.Proxy {
		return func(ctx context.Context, req *proxy.Request) (*proxy.Response, error) {
			resp, err := next(ctx, req)
			// 判断是否为JWT校验相关错误
			if err != nil && isJWTVerifyError(err) {
				// 清除错误，重新转发请求到后端
				return next(ctx, req)
			}
			return resp, err
		}
	}
}

// isJWTVerifyError 判断错误是否来自JWT校验失败
func isJWTVerifyError(err error) bool {
	errMsg := err.Error()
	return strings.Contains(errMsg, "invalid token") || 
		   strings.Contains(errMsg, "expired token") || 
		   strings.Contains(errMsg, "signature invalid")
}

配置加载插件 #

在KrakenD配置中添加自定义插件引用，确保插件执行顺序在auth/validator之后：

{
  "extra_config": {
    "github.com/devopsfaith/krakend/proxy": {
      "custom": [
        {"name": "jwt-fallback-proxy", "path": "./path/to/your/plugin.so"}
      ]
    }
  }
}

内容的提问来源于stack exchange，提问作者Sajad