如何构建通用认证服务？Spring应用统一权限方案可行性咨询

核心结论 #

你的方案完全可行且合理，这是分布式系统（包括非严格微服务的多应用场景）中解决身份认证授权冗余问题的标准思路之一，能有效避免重复开发、确保权限规则统一。

方案逻辑的合理性 #

• 统一认证服务负责身份校验与JWT签发，各业务服务只需要专注于JWT校验与权限控制，职责清晰，符合单一职责原则。
• JWT本身携带用户身份和权限信息，各服务无需再调用认证服务校验权限（只需验证签名有效性即可），减少跨服务依赖，性能更优。
• 你要求的「各应用内部控制端点权限」完全可以实现，因为JWT中的权限信息可以和各服务自身的接口权限规则做绑定。

具体实现步骤 #

1. 统一认证授权服务开发 #

• 基于Spring Security + 自定义认证逻辑实现用户登录接口，校验账号密码后生成包含用户ID、角色、权限列表的JWT。
• 配置JWT的签名密钥（建议使用非对称加密如RSA，更安全）、过期时间等参数。
• 核心代码示例：

@RestController
@RequestMapping("/auth")
public class AuthController {
    @Autowired
    private JwtTokenProvider tokenProvider;
    @Autowired
    private UserDetailsService userDetailsService;
    @Autowired
    private PasswordEncoder passwordEncoder;
    
    @PostMapping("/login")
    public ResponseEntity<?> login(@RequestBody LoginRequest request) {
        // 校验用户身份
        UserDetails userDetails = userDetailsService.loadUserByUsername(request.getUsername());
        if (!passwordEncoder.matches(request.getPassword(), userDetails.getPassword())) {
            return ResponseEntity.badRequest().body("用户名或密码错误");
        }
        // 生成携带权限的JWT
        String token = tokenProvider.createToken(userDetails.getUsername(), userDetails.getAuthorities());
        return ResponseEntity.ok(new AuthResponse(token));
    }
}

// JWT工具类核心方法
public class JwtTokenProvider {
    private final PrivateKey privateKey;
    private final long validityInMs = 3600000; // 1小时过期

    public String createToken(String username, Collection<? extends GrantedAuthority> authorities) {
        Claims claims = Jwts.claims().setSubject(username);
        claims.put("roles", authorities.stream().map(GrantedAuthority::getAuthority).collect(Collectors.toList()));
        
        Date now = new Date();
        Date validity = new Date(now.getTime() + validityInMs);
        
        return Jwts.builder()
                .setClaims(claims)
                .setIssuedAt(now)
                .setExpiration(validity)
                .signWith(SignatureAlgorithm.RS256, privateKey)
                .compact();
    }
}

2. 业务服务的权限控制配置 #

• 每个业务服务引入Spring Security依赖，配置JWT过滤器，在请求到达时校验JWT的签名、过期时间，并解析出用户权限。
• 通过@PreAuthorize注解或配置类的方式，控制不同端点的访问权限。
• 核心代码示例：

// JWT请求过滤器
public class JwtTokenFilter extends OncePerRequestFilter {
    @Autowired
    private JwtTokenProvider tokenProvider;
    
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        String token = resolveToken(request);
        if (token != null && tokenProvider.validateToken(token)) {
            Authentication auth = tokenProvider.getAuthentication(token);
            SecurityContextHolder.getContext().setAuthentication(auth);
        }
        filterChain.doFilter(request, response);
    }
    
    private String resolveToken(HttpServletRequest request) {
        String bearerToken = request.getHeader("Authorization");
        if (bearerToken != null && bearerToken.startsWith("Bearer ")) {
            return bearerToken.substring(7);
        }
        return null;
    }
}

// Security配置类
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Autowired
    private JwtTokenFilter jwtTokenFilter;
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .antMatchers("/public/**").permitAll() // 公开接口无需认证
                .anyRequest().authenticated();
        
        http.addFilterBefore(jwtTokenFilter, UsernamePasswordAuthenticationFilter.class);
    }
}

// 业务接口权限控制示例
@RestController
@RequestMapping("/order")
public class OrderController {
    // 仅ADMIN角色可访问
    @PreAuthorize("hasRole('ADMIN')")
    @GetMapping("/list")
    public ResponseEntity<?> getOrderList() {
        return ResponseEntity.ok(Collections.emptyList());
    }
    
    // 拥有ORDER_READ权限的用户可访问
    @PreAuthorize("hasAuthority('ORDER_READ')")
    @GetMapping("/{id}")
    public ResponseEntity<?> getOrderById(@PathVariable Long id) {
        return ResponseEntity.ok(new Order());
    }
}

关键注意事项 #

• JWT的签名密钥要妥善保管，非对称加密的公钥可以分发给各业务服务用于校验签名。
• 可以加入JWT刷新机制，避免用户频繁登录。
• 若后续服务数量增多，可引入Spring Cloud Gateway做统一的JWT校验，进一步简化业务服务的配置。

内容的提问来源于stack exchange，提问作者fckNewbee