Spring Boot中如何通过OpenFeign传递OAuth2凭证至服务B？

针对你描述的Spring Boot服务通过OpenFeign跨服务调用、需传递用户OAuth2凭证的场景，以下是几种实用的实现方案：

方案1：自定义Feign拦截器，从请求上下文获取AccessToken #

用户请求服务A时，Spring Security会将解析后的OAuth2凭证（如JWT）存入SecurityContext，通过自定义Feign拦截器可以直接获取该凭证并添加到调用服务B的请求头中。

实现代码 #

首先定义拦截器：

import feign.RequestInterceptor;
import feign.RequestTemplate;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.oauth2.server.resource.authentication.JwtAuthenticationToken;
import org.springframework.stereotype.Component;

@Component
public class OAuth2FeignRequestInterceptor implements RequestInterceptor {
    private static final String AUTHORIZATION_HEADER = "Authorization";
    private static final String BEARER_PREFIX = "Bearer ";

    @Override
    public void apply(RequestTemplate template) {
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        if (auth instanceof JwtAuthenticationToken jwtToken) {
            String tokenValue = jwtToken.getToken().getTokenValue();
            template.header(AUTHORIZATION_HEADER, BEARER_PREFIX + tokenValue);
        }
    }
}

然后在Feign客户端中关联该拦截器（如果拦截器已通过@Component注册为Bean，会全局生效，无需每个客户端单独配置）：

@FeignClient(name = "service-b", configuration = OAuth2FeignRequestInterceptor.class)
public interface ServiceBClient {
    @GetMapping("/api/resource")
    String getServiceBResource();
}

方案2：使用Spring Cloud OpenFeign的OAuth2扩展 #

如果你的项目基于Spring Cloud生态，可以直接借助官方扩展实现自动传递凭证，无需手动编写拦截器。

步骤 #

1. 引入依赖（Maven示例）：

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-openfeign</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-oauth2</artifactId>
</dependency>

2. 开启Feign的OAuth2支持：
   在application.yml中添加配置：

feign:
  oauth2:
    enabled: true

3. 定义Feign客户端：

@FeignClient(name = "service-b")
public interface ServiceBClient {
    @GetMapping("/api/resource")
    String getServiceBResource();
}

该方式会自动从SecurityContext中提取当前用户的AccessToken，添加到Feign请求的Authorization头中。

方案3：服务间客户端凭证模式（非用户身份传递） #

如果服务A需要以自身身份调用服务B（而非传递用户凭证），可以使用OAuth2的客户端凭证模式，通过配置独立的客户端信息获取服务间调用的token。

实现步骤 #

1. 配置客户端凭证信息：
   在application.yml中添加：

spring:
  security:
    oauth2:
      client:
        registration:
          service-a-client:
            client-id: service-a
            client-secret: your-service-a-secret
            authorization-grant-type: client_credentials
        provider:
          keycloak:
            token-uri: http://your-keycloak-domain/auth/realms/your-realm/protocol/openid-connect/token

2. 编写客户端凭证拦截器：

import feign.RequestInterceptor;
import feign.RequestTemplate;
import org.springframework.security.oauth2.client.OAuth2AuthorizeRequest;
import org.springframework.security.oauth2.client.OAuth2AuthorizedClientManager;
import org.springframework.stereotype.Component;

@Component
public class ClientCredentialsFeignInterceptor implements RequestInterceptor {
    private static final String AUTHORIZATION_HEADER = "Authorization";
    private static final String BEARER_PREFIX = "Bearer ";
    private final OAuth2AuthorizedClientManager clientManager;

    public ClientCredentialsFeignInterceptor(OAuth2AuthorizedClientManager clientManager) {
        this.clientManager = clientManager;
    }

    @Override
    public void apply(RequestTemplate template) {
        OAuth2AuthorizeRequest authRequest = OAuth2AuthorizeRequest.withClientRegistrationId("service-a-client")
                .principal("service-a")
                .build();
        String token = clientManager.authorize(authRequest).getAccessToken().getTokenValue();
        template.header(AUTHORIZATION_HEADER, BEARER_PREFIX + token);
    }
}

关键注意事项 #

• 确保服务A的Spring Security配置正确，能解析APISIX网关传递的OAuth2凭证（如配置为资源服务器，本地验证JWT签名以提升性能）。
• 如果使用用户凭证传递，需保证SecurityContext中存在有效的用户认证信息（APISIX网关需正确转发token到服务A）。
• 对于JWT类型的凭证，需注意token过期时间，可结合APISIX的刷新机制或服务A的OAuth2自动刷新逻辑处理。

内容的提问来源于stack exchange，提问作者user19950573