基于JWT的微服务认证授权：跨微服务访问权限问题求解

嗨，这个问题我在好几个微服务项目里都遇到过——核心矛盾就是你当前的模式浪费了JWT的自包含特性，反而依赖本地用户表完成认证，自然会出现跨服务用户找不到的情况。给你几个靠谱的解决方案，你可以根据自己的架构规模和需求来选：

方案1：直接用JWT自包含信息构建认证对象（无需查询本地用户表） #

既然所有微服务共享同一个签名密钥，JWT本身又已经签名防篡改，那完全可以跳过本地用户表查询这一步，直接从JWT的Claims里提取用户身份和权限信息，构建认证对象。

具体做法是自定义JWT认证过滤器，在解析JWT后直接生成Authentication对象，而不是通过UserDetailsService去查本地数据库：

public class JwtAuthenticationFilter extends OncePerRequestFilter {

    private final JwtTokenProvider tokenProvider;

    public JwtAuthenticationFilter(JwtTokenProvider tokenProvider) {
        this.tokenProvider = tokenProvider;
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        // 从请求头中提取JWT Token
        String token = extractTokenFromRequest(request);
        
        if (token != null && tokenProvider.validateTokenSignature(token)) {
            // 解析JWT中的Claims
            Claims claims = tokenProvider.parseTokenClaims(token);
            String username = claims.getSubject();
            List<String> userRoles = claims.get("roles", List.class);
            
            // 转换为Spring Security需要的权限对象
            Collection<GrantedAuthority> authorities = userRoles.stream()
                    .map(SimpleGrantedAuthority::new)
                    .collect(Collectors.toList());
            
            // 构建认证对象并放入Security上下文
            UsernamePasswordAuthenticationToken authToken = new UsernamePasswordAuthenticationToken(
                    username, null, authorities);
            authToken.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
            
            SecurityContextHolder.getContext().setAuthentication(authToken);
        }
        
        filterChain.doFilter(request, response);
    }

    private String extractTokenFromRequest(HttpServletRequest request) {
        String bearerHeader = request.getHeader("Authorization");
        if (StringUtils.hasText(bearerHeader) && bearerHeader.startsWith("Bearer ")) {
            return bearerHeader.substring(7);
        }
        return null;
    }
}

这种方案最适合小型微服务架构，不需要额外依赖，直接解决跨服务认证问题。

方案2：搭建统一用户中心（UDC），集中管理用户数据 #

如果你的微服务规模较大，需要统一管理用户信息（比如用户修改密码、权限变更要同步到所有服务），那最好搭建一个独立的用户中心服务，所有微服务的UserDetailsService都去调用用户中心的API获取用户信息，而不是查本地表。

示例代码如下：

@Service
@Cacheable(value = "userCache", key = "#username") // 加缓存避免频繁调用用户中心
public class RemoteUserDetailsService implements UserDetailsService {

    private final RestTemplate restTemplate;
    private final String userCenterApi = "http://user-center-service/api/users/";

    public RemoteUserDetailsService(RestTemplate restTemplate) {
        this.restTemplate = restTemplate;
    }

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        // 调用用户中心API获取用户详情
        UserRemoteDto userDto = restTemplate.getForObject(userCenterApi + username, UserRemoteDto.class);
        
        if (userDto == null) {
            throw new UsernameNotFoundException("User not found: " + username);
        }
        
        // 转换为Spring Security的UserDetails对象
        Collection<GrantedAuthority> authorities = userDto.getRoles().stream()
                .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
                .collect(Collectors.toList());
        
        // 这里密码字段可以填空，因为JWT已经验证过签名，无需再验证密码
        return new User(userDto.getUsername(), "", authorities);
    }
}

这种方案扩展性强，但需要额外维护用户中心服务，还要注意添加缓存和熔断降级（比如用Resilience4j），避免用户中心故障导致所有服务认证失败。

方案3：优化JWT签发逻辑，嵌入完整认证所需信息 #

这个方案其实是方案1的延伸——在签发JWT的时候，把用户的所有必要认证信息（比如用户名、角色、权限）都嵌入到Claims里，这样微服务验证时只需要解析JWT，不用依赖任何外部数据源。

签发JWT的示例代码：

@Component
public class JwtTokenProvider {

    @Value("${jwt.secret}")
    private String secretKey;
    @Value("${jwt.expiration}")
    private long expirationMs;

    public String generateToken(UserDetails userDetails) {
        Map<String, Object> claims = new HashMap<>();
        // 嵌入用户角色信息
        claims.put("roles", userDetails.getAuthorities().stream()
                .map(GrantedAuthority::getAuthority)
                .collect(Collectors.toList()));
        // 可以添加其他非敏感信息，比如用户ID
        claims.put("userId", ((CustomUserDetails) userDetails).getUserId());

        return Jwts.builder()
                .setClaims(claims)
                .setSubject(userDetails.getUsername())
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + expirationMs))
                .signWith(SignatureAlgorithm.HS512, secretKey)
                .compact();
    }

    // 其他验证、解析方法...
}

⚠️ 注意：不要把敏感信息（比如密码、手机号）放到JWT里，因为JWT是Base64编码的，任何人都可以解码查看内容，签名只是保证内容不被篡改。

关键注意事项 #

• 签名密钥管理：所有微服务必须使用相同的签名密钥，建议放在配置中心（比如Spring Cloud Config），不要硬编码到代码里，并且定期轮换密钥。
• JWT过期时间：设置合理的过期时间（比如1天），同时搭配刷新令牌机制，避免用户频繁登录。
• 性能优化：如果用用户中心方案，一定要加缓存；如果用自包含JWT，不要嵌入过多数据，避免JWT过大影响请求性能。
• 安全防护：启用HTTPS传输JWT，防止Token被窃听；对JWT的使用场景做限制（比如通过Audience字段指定允许访问的服务）。

内容的提问来源于stack exchange，提问作者Rohit Kavthekar