如何在KrakenD中提取JWT的user_id并转发JWT声明至下游API？

完全可以通过KrakenD原生组件实现提取JWT中的user_id或sub等声明，并转发为自定义请求头（如X-User）的需求，不需要额外插件。核心依赖JWT验证组件和请求头操控功能，具体实现步骤如下：

1. 配置JWT解析与验证 #

首先需要让KrakenD能够解析并验证传入的JWT，可在全局配置或单个端点配置中添加JWT验证规则：

全局配置示例（所有端点生效） #

version: 3
extra_config:
  auth/jwt:
    signer:
      algorithm: HS256 # 根据你的JWT算法调整，如RS256
      key: "your-jwt-secret-or-public-key"
    extract_claims: true # 开启后KrakenD会解析JWT中的所有声明
    allowed_roles: [] # 不需要角色验证可留空，按需添加允许的角色

端点级配置示例（仅当前端点生效） #

如果只需要特定端点验证JWT，可将配置放到对应端点的extra_config中：

endpoints:
  - endpoint: /api/user/profile
    method: GET
    extra_config:
      auth/jwt:
        signer:
          algorithm: HS256
          key: "your-jwt-secret"
        extract_claims: true
    # 后续后端配置...

2. 转发JWT声明为下游请求头 #

在端点的后端配置中，使用KrakenD的模板语法{{ .Claim.<声明名> }}，将JWT中的声明映射为自定义请求头发送给下游API。

配置示例：转发sub到X-User、user_id到X-User-ID #

endpoints:
  - endpoint: /api/user/profile
    method: GET
    extra_config:
      auth/jwt:
        signer:
          algorithm: HS256
          key: "your-jwt-secret"
        extract_claims: true
    backend:
      - url_pattern: /downstream/user/profile
        method: GET
        headers:
          # 把JWT中的sub声明转发为X-User头
          X-User: "{{ .Claim.sub }}"
          # 把JWT中的自定义user_id声明转发为X-User-ID头
          X-User-ID: "{{ .Claim.user_id }}"

关键说明 #

• 确保JWT中确实包含你要提取的声明（sub是标准JWT声明，user_id如果是自定义声明需确认生成JWT时已添加）
• 如果JWT不是放在Authorization: Bearer <token>头中，可在auth/jwt配置里添加token_from指定位置，比如token_from: "header:X-Auth-Token"表示从X-Auth-Token头读取JWT
• 模板语法支持所有解析后的JWT声明，只需替换<声明名>为实际字段即可

内容的提问来源于stack exchange，提问作者Rohit.007