如何在Spring Cloud Gateway的springSecurityFilterChain前实现用户认证？

你当前的配置仅定义了路由的授权规则，但缺少认证逻辑的执行入口。针对WebFlux环境下的Spring Security，有两种可靠方式实现认证逻辑优先于springSecurityFilterChain执行：

方案一：自定义前置WebFilter（适合简单认证场景） #

通过创建优先级高于Security过滤器的自定义WebFilter，在请求进入Security链前完成认证，并将认证信息存入Security上下文。

@Component
@Order(-110) // 优先级高于Security默认的-100，确保先执行
public class PreAuthFilter implements WebFilter {

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
        // 从请求头提取Token，示例为Bearer格式
        String token = exchange.getRequest().getHeaders().getFirst("Authorization");
        if (token != null && token.startsWith("Bearer ")) {
            // 这里替换为你的Token验证、用户信息加载逻辑
            Authentication auth = new UsernamePasswordAuthenticationToken(
                    "username", 
                    null, 
                    Collections.singletonList(new SimpleGrantedAuthority("ROLE_USER"))
            );
            // 将认证信息写入上下文，供后续Security授权使用
            return chain.filter(exchange)
                    .contextWrite(ReactiveSecurityContextHolder.withAuthentication(auth));
        }
        // 未认证请求可直接返回401，或交由Security链处理
        return chain.filter(exchange);
    }
}

方案二：在Security链中集成认证过滤器（推荐，符合Security规范） #

将认证逻辑作为Security过滤器链的一部分，通过指定过滤器顺序，确保认证在授权前执行。以JWT认证为例：

1. 实现ServerAuthenticationConverter，用于从请求中提取认证信息

public class JwtAuthenticationConverter implements ServerAuthenticationConverter {

    @Override
    public Mono<Authentication> convert(ServerWebExchange exchange) {
        String token = exchange.getRequest().getHeaders().getFirst("Authorization");
        if (token == null || !token.startsWith("Bearer ")) {
            return Mono.empty();
        }
        // 解析JWT并生成Authentication对象，替换为你的真实逻辑
        String jwtToken = token.substring(7);
        return Mono.just(new UsernamePasswordAuthenticationToken(
                "username", 
                null, 
                Collections.singletonList(new SimpleGrantedAuthority("ROLE_USER"))
        ));
    }
}

2. 修改Security配置，添加认证过滤器到授权步骤之前

@Configuration
@EnableWebFluxSecurity
public class WebfluxSecurityConfig{

    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        // 配置认证过滤器
        AuthenticationWebFilter authFilter = new AuthenticationWebFilter(
                new UserDetailsRepositoryReactiveAuthenticationManager(userDetailsService())
        );
        authFilter.setServerAuthenticationConverter(new JwtAuthenticationConverter());

        http.csrf().disable()
                // 将认证过滤器放在授权过滤器之前
                .addFilterBefore(authFilter, SecurityWebFiltersOrder.AUTHORIZATION)
                .authorizeExchange()
                .pathMatchers(Routes.PUBLIC_ROUTES).permitAll()
                .pathMatchers(Routes.AUTH_ROUTES).authenticated();

        return http.build();
    }

    // 模拟用户信息服务，实际项目替换为真实实现
    @Bean
    public ReactiveUserDetailsService userDetailsService() {
        UserDetails user = User.withUsername("test")
                .password("{noop}123456")
                .roles("USER")
                .build();
        return new MapReactiveUserDetailsService(user);
    }
}

内容的提问来源于stack exchange，提问作者Holge