Spring Boot应用如何结合Spring Security处理网关传入的已验证JWT令牌？

一、避免JWT双重验证的核心逻辑 #

网关已经完成JWT的签名校验、过期检查等有效性验证，后端服务只需解析令牌中的用户身份、角色/组信息，无需重复验证令牌合法性。同时要确保后端仅接收来自网关的请求，防止未经过网关验证的请求直接访问。

具体实现 #

• 配置Spring Security的JWT解码器，跳过签名与有效性验证
• 限制后端服务的访问来源，仅允许网关IP/网段请求（可通过Spring Security或反向代理实现）

二、集成Spring Security实现基于用户组的访问控制 #

1. 添加依赖 #

在pom.xml中引入必要的Spring Security OAuth2资源服务器依赖：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

2. 配置Spring Security核心类 #

创建配置类，实现JWT解析、权限转换与接口访问控制：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.method.configuration.EnableMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.jwt.JwtValidationResult;
import org.springframework.security.oauth2.jwt.NimbusJwtDecoder;
import org.springframework.security.oauth2.server.resource.authentication.JwtAuthenticationConverter;
import org.springframework.security.oauth2.server.resource.authentication.JwtGrantedAuthoritiesConverter;

@Configuration
@EnableWebSecurity
@EnableMethodSecurity // 启用方法级权限控制
public class SecurityConfig {

    @Bean
    public JwtDecoder jwtDecoder() {
        // 网关已完成验证，这里跳过JWT签名与有效性校验
        NimbusJwtDecoder decoder = NimbusJwtDecoder.withJwkSetUri("https://dummy.url").build();
        decoder.setJwtValidator(jwt -> JwtValidationResult.success());
        return decoder;
    }

    @Bean
    public JwtAuthenticationConverter jwtAuthenticationConverter() {
        JwtGrantedAuthoritiesConverter authoritiesConverter = new JwtGrantedAuthoritiesConverter();
        // 指定JWT中存储用户组的字段名（比如"groups"或"roles"，根据实际令牌结构调整）
        authoritiesConverter.setAuthoritiesClaimName("groups");
        // 给权限添加前缀，适配Spring Security的角色判断规则
        authoritiesConverter.setAuthorityPrefix("ROLE_");

        JwtAuthenticationConverter converter = new JwtAuthenticationConverter();
        converter.setJwtGrantedAuthoritiesConverter(authoritiesConverter);
        return converter;
    }

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .csrf(csrf -> csrf.disable()) // REST接口关闭CSRF保护
                .authorizeHttpRequests(auth -> auth
                        // 开放公共接口
                        .requestMatchers("/public/**").permitAll()
                        // 仅允许ADMIN组访问管理员接口
                        .requestMatchers("/admin/**").hasRole("ADMIN")
                        // 其他接口需认证后访问
                        .anyRequest().authenticated()
                )
                .oauth2ResourceServer(oauth2 -> oauth2
                        .jwt(jwt -> jwt
                                .decoder(jwtDecoder())
                                .jwtAuthenticationConverter(jwtAuthenticationConverter())
                        )
                );
        return http.build();
    }
}

3. 方法级权限控制示例 #

在REST接口上使用@PreAuthorize注解实现细粒度权限控制：

import org.springframework.security.access.prepost.PreAuthorize;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class DemoController {

    @GetMapping("/public/hello")
    public String publicHello() {
        return "Hello Public!";
    }

    @GetMapping("/admin/dashboard")
    @PreAuthorize("hasRole('ADMIN')")
    public String adminDashboard() {
        return "Admin Dashboard";
    }

    @GetMapping("/user/profile")
    @PreAuthorize("hasAnyRole('USER', 'ADMIN')")
    public String userProfile() {
        return "User Profile";
    }
}

4. 增强安全：限制访问来源 #

防止未经过网关的请求直接访问后端，可添加IP白名单：

// 在SecurityConfig的securityFilterChain方法中补充IP限制
http
        .authorizeHttpRequests(auth -> auth
                // 仅允许网关IP访问所有接口
                .requestMatchers("/**").hasIpAddress("192.168.1.100")
                .and()
                .requestMatchers("/public/**").permitAll()
                .requestMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
        );

三、关键注意事项 #

• 确保网关通过Authorization: Bearer <token>请求头传递JWT到后端
• 令牌中的用户组字段名需与JwtGrantedAuthoritiesConverter配置的authoritiesClaimName一致
• 若网关与后端共享密钥，也可选择验证签名，但会产生双重验证，若要避免必须跳过校验
• IP白名单需根据网关实际部署IP调整，也可结合Nginx等反向代理实现更灵活的访问控制

内容的提问来源于stack exchange，提问作者Ben