Spring Cloud微服务如何仅通过API Gateway访问？centralized Authentication存疑

一、为什么做了集中式认证，服务还要单独认证？ #

两者是互补而非重复的关系，核心价值体现在这几点：

• 网关做「入口统一拦截」：把无效请求直接挡在外部——比如校验JWT合法性、令牌过期时间、签名正确性，统一处理登录、令牌刷新这类通用流程，避免每个服务重复编写相同的认证逻辑，减少冗余代码。
• 服务做「细粒度权限校验」：网关只负责验证“用户是合法的”，但具体用户能否访问某个服务的特定接口，只有服务自身清楚。比如订单服务的「查看他人订单」接口，仅允许管理员权限访问，这类业务相关的权限逻辑，必须放在服务层处理。
• 统一管控与排查效率：集中式认证可以统一收集认证日志、统计请求成功率，出现认证问题时直接在网关层排查，不用逐个服务去定位。

二、如何隐藏微服务，仅允许网关/注册中心访问？ #

可以从网络、配置、服务发现三个层面落地：

1. 网络隔离 #

• 容器化部署（如K8s）：将微服务放在内部专用Namespace，仅开放网关的Service给外部，微服务的Service仅允许同Namespace内的网关、注册中心访问。
• 传统部署：用防火墙/安全组限制——只对外开放网关和注册中心的端口，微服务的端口仅允许网关、注册中心所在的内部IP访问，外部IP直接拦截。

2. 服务安全配置 #

• 用Spring Security设置IP白名单：仅允许网关、注册中心的IP访问服务接口，其他IP直接返回403。示例配置：

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .anyRequest()
            .access("hasIpAddress('网关IP') or hasIpAddress('注册中心IP')");
    }
}

• 关闭不必要的对外端点：比如禁用Actuator的敏感端点（仅保留/actuator/health用于健康检查），或限制端点仅允许内部IP访问。

3. 服务发现层控制 #

• 以Eureka为例：给注册中心配置客户端账号密码，仅携带合法凭证的服务（网关、其他微服务）才能完成注册/发现，外部无法访问Eureka的管理接口。
• 服务实例仅绑定内部网络IP，不暴露公网地址，网关通过服务名从注册中心获取实例信息进行调用。

三、你可能遗漏的核心要点 #

• 令牌传递机制：网关认证通过后，需将用户身份信息（如JWT令牌、用户ID）通过请求头传递给下游服务，服务拿到后再做细粒度权限校验——这是集中认证与服务认证配合的关键，否则两者会脱节。
• 服务间调用的认证：微服务互调不能只依赖网络隔离，要添加服务级认证——比如使用内部JWT令牌、Spring Cloud服务账号，确保只有合法服务能发起调用，防止内部越权。
• 网关的综合能力：集中式认证只是网关的功能之一，它还能统一处理限流、熔断、路由转发、请求转换等逻辑，这些能力与认证结合，才能真正发挥微服务架构的优势。

内容的提问来源于stack exchange，提问作者kid_from_lu