Spring Boot微服务JWT+OAuth2跨服务身份数据获取方案求助

问题描述 #

在Spring Boot微服务架构中使用JWT+OAuth2实现服务访问授权时，遇到以下痛点：

• 非网关微服务如何获取JWT中的身份数据（如用户ID、用户名）？每个微服务单独配置JWT解码器过于繁琐。
• 希望在API网关的WebFlux安全过滤器中解码JWT，将身份数据添加到HTTP请求头后转发给下游微服务，但不知道WebFlux过滤器中设置请求头的正确方式。

当前使用的JWT过滤器代码：

@Override
public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
    String authorizationheader= exchange.getRequest().getHeaders().get("Authorization").toString();
    String token;
    String Username = null;
    String iss=null;
    //check have tokem
    if(authorizationheader !=null&& authorizationheader.startsWith("Bearer ")){
        token=authorizationheader.substring(7);
        Username=jwtDecoder.decode(token).getSubject();
        iss= String.valueOf(jwtDecoder.decode(token).getIssuer());
    } 
    //verify by check username and iss
    if(Username!=null && iss!=null&& SecurityContextHolder.getContext().getAuthentication()==null){
        if(iss.equals("http://localhost:8080")){
            UserDetails userDetails=new User(Username,null,null);
            UsernamePasswordAuthenticationToken AuthenticationToken=new UsernamePasswordAuthenticationToken(
                    userDetails,null,userDetails.getAuthorities());
            //set username and id to the request
            SecurityContextHolder.getContext().setAuthentication(AuthenticationToken);
        }
    }
    return chain.filter(exchange);
}

Security过滤器Bean代码：

@Bean
public SecurityWebFilterChain filterChain(ServerHttpSecurity httpSecurity) throws Exception {
    return httpSecurity
            /*.csrf(csrf -> csrf.ignoringRequestMatchers("/Job/getRegionjobs/**",
                    "/Job/getalljobs","/login/oauth2/code/google"))*/
            .csrf(csrf -> csrf.disable())
            .authorizeExchange(auth->auth.anyExchange().authenticated())
            .addFilterBefore(jwtFilter, SecurityWebFiltersOrder.AUTHENTICATION)
            .oauth2ResourceServer(ServerHttpSecurity.OAuth2ResourceServerSpec::jwt)
            //.sessionManagement(session-> session.sessionCreationPolicy(SessionCreationPolicy.STATELESS))
            .httpBasic(withDefaults())
            .build();
}

解决方案 #

1. WebFlux过滤器中添加请求头的正确实现 #

WebFlux中ServerHttpRequest是不可变对象，必须通过mutate()方法创建新请求实例，再构建新的ServerWebExchange传递给后续过滤器链。同时注意，反应式环境下不能使用线程绑定的SecurityContextHolder，需改用ReactiveSecurityContextHolder传递安全上下文。修改后的过滤器代码如下：

import org.springframework.security.core.context.ReactiveSecurityContextHolder;
import org.springframework.http.HttpStatus;
import io.jsonwebtoken.JwtException;

@Override
public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
    ServerHttpRequest request = exchange.getRequest();
    String authorizationHeader = request.getHeaders().getFirst("Authorization");
    
    if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) {
        String token = authorizationHeader.substring(7);
        try {
            Jwt jwt = jwtDecoder.decode(token);
            String username = jwt.getSubject();
            String issuer = jwt.getIssuer();
            
            // 验证签发者合法性
            if ("http://localhost:8080".equals(issuer)) {
                // 构建添加身份数据的新请求头
                ServerHttpRequest modifiedRequest = request.mutate()
                        .header("X-User-Id", jwt.getClaimAsString("id")) // 假设JWT包含id字段
                        .header("X-Username", username)
                        .build();
                
                // 创建新的WebExchange实例
                ServerWebExchange modifiedExchange = exchange.mutate()
                        .request(modifiedRequest)
                        .build();
                
                // 构建认证对象并写入反应式安全上下文
                UserDetails userDetails = new User(username, null, Collections.emptyList());
                UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken(
                        userDetails, null, userDetails.getAuthorities());
                
                return chain.filter(modifiedExchange)
                        .contextWrite(ReactiveSecurityContextHolder.withAuthentication(authToken));
            }
        } catch (JwtException e) {
            // 处理JWT解析失败，返回401未授权
            exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
            return exchange.getResponse().setComplete();
        }
    }
    
    // 无有效Token时，继续过滤器链或返回401，根据业务需求调整
    return chain.filter(exchange);
}

2. 关键注意事项 #

• 禁用SecurityContextHolder：WebFlux是非阻塞反应式模型，线程绑定的SecurityContextHolder会导致上下文混乱，必须使用ReactiveSecurityContextHolder。
• 异常捕获处理：必须捕获JWT解码异常，避免直接抛出导致服务崩溃，同时返回标准的401状态码。
• 自定义请求头规范：建议使用X-前缀命名自定义请求头，避免与HTTP标准请求头冲突。

3. 替代方案：网关转发JWT，微服务轻量解析 #

如果不想在网关添加请求头，也可以让网关直接转发JWT到下游微服务，微服务无需完整配置JWT解码器，仅用工具类解析必要字段（前提是网关已完成JWT签名验证，确保Token合法）。

微服务端解析工具类示例：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;

public class JwtSimpleParser {
    // 无需签名密钥，因为网关已验证Token合法性
    public static Claims parseClaims(String token) {
        return Jwts.parserBuilder()
                .build()
                .parseClaimsJws(token.replace("Bearer ", ""))
                .getBody();
    }
}

微服务Controller中获取身份数据示例：

@GetMapping("/user/profile")
public ResponseEntity<UserProfile> getUserProfile(@RequestHeader("Authorization") String token) {
    Claims claims = JwtSimpleParser.parseClaims(token);
    String userId = claims.get("id", String.class);
    String username = claims.getSubject();
    return ResponseEntity.ok(new UserProfile(userId, username));
}

这种方式无需在微服务中配置Spring Security OAuth2资源服务器，仅需依赖jjwt库即可完成解析，代码更简洁。

内容的提问来源于stack exchange，提问作者user20112858