认证后自定义签发JWT的可行性及实现指引咨询

1. 是否可行？ #

完全可行。Spring Cloud Gateway支持灵活的过滤器扩展，完全可以自定义认证逻辑来适配这种功能受限的OAuth SSO服务。

2. 实现思路 #

（1）网关对接OAuth2授权码流程 #

引入spring-boot-starter-oauth2-client依赖，在网关的配置文件中指定SSO的客户端ID、密钥、/authorize授权端点、/token令牌端点等信息，完成基础的授权码流程对接——让Angular前端跳转SSO登录，网关负责处理授权码交换、令牌获取的逻辑。

（2）自定义过滤器获取用户信息 #

自定义一个全局过滤器（GlobalFilter）或者路由过滤器（GatewayFilter），在网关拿到SSO返回的访问令牌后，主动调用SSO的/userdata端点，传入该访问令牌，获取用户的核心身份数据（比如用户ID、角色、权限集合等）。

（3）生成自定义JWT #

借助JJWT这类JWT工具库，基于/userdata返回的用户信息生成符合后端服务要求的JWT：

• 配置签名密钥（优先用RSA非对称密钥，安全性更高）
• 设置JWT的过期时间、主题（比如用户ID）、角色/权限等自定义Claims

（4）替换请求头转发请求 #

将生成的自定义JWT放入请求头（比如Authorization: Bearer <自定义JWT>），替换掉原来从SSO获取的原始访问令牌，再把请求转发给后端的Spring Boot服务。

（5）后端服务验证JWT #

后端Spring Boot服务需要配置JWT验证逻辑，使用和网关一致的签名密钥来验证JWT的合法性，解析出用户信息后用于接口的权限校验、业务逻辑处理。

额外注意点 #

• 令牌过期处理：在网关中实现刷新令牌逻辑，当原始访问令牌过期时，调用SSO的/token端点用刷新令牌换取新的访问令牌，重新获取用户信息并生成新的JWT。
• 缓存优化：可以短期缓存/userdata的返回结果和生成的JWT，减少重复调用SSO和生成JWT的开销，但要注意缓存失效策略，避免用户信息变更后缓存不一致。
• 安全防护：网关与SSO的通信必须用HTTPS，签名密钥要妥善保管，避免泄露。

内容的提问来源于stack exchange，提问作者Jason