如何将Kubernetes ServiceAccount Token验证的Go代码转为Java实现？

依赖准备 #

确保项目引入Kubernetes Java客户端依赖，版本请匹配你的Kubernetes集群版本。

完整实现代码 #

import io.kubernetes.client.openapi.ApiClient;
import io.kubernetes.client.openapi.ApiException;
import io.kubernetes.client.openapi.apis.AuthenticationV1Api;
import io.kubernetes.client.openapi.models.V1TokenReview;
import io.kubernetes.client.openapi.models.V1TokenReviewSpec;
import io.kubernetes.client.openapi.models.V1TokenReviewStatus;
import io.kubernetes.client.util.Config;

public class TokenValidator {

    public boolean verifyToken(String clientToken) throws Exception {
        // 初始化K8s API客户端（集群内默认从serviceaccount凭证加载配置）
        ApiClient client = Config.defaultClient();
        AuthenticationV1Api authApi = new AuthenticationV1Api(client);

        // 构建TokenReview请求体，和Go版本逻辑对齐
        V1TokenReview tokenReview = new V1TokenReview();
        V1TokenReviewSpec spec = new V1TokenReviewSpec();
        spec.token(clientToken);
        spec.audiences(java.util.Arrays.asList("server")); // 匹配Go中的受众配置
        tokenReview.spec(spec);

        // 调用TokenReview API，无需的可选参数传null即可
        V1TokenReview result = authApi.createTokenReview(
            tokenReview,
            null, // dryRun：Go版本用默认CreateOptions，此处传null表示不启用
            null, // fieldManager
            null, // fieldValidation
            null  // pretty
        );

        // 打印验证状态（对应Go中的日志输出）
        System.out.println("TokenReview Status: " + result.getStatus().toString());

        // 返回最终验证结果
        V1TokenReviewStatus status = result.getStatus();
        return status != null && Boolean.TRUE.equals(status.getAuthenticated());
    }
}

参数差异说明 #

Go版本中CreateOptions是一个可选配置结构体，默认所有字段为空；而Java客户端将这些可选配置拆成了方法的独立参数（如dryRun、fieldManager等）。如果不需要这些高级配置，直接传null即可，完全等价于Go里的默认CreateOptions。

适配Token卷投影场景 #

该实现复用Kubernetes原生TokenReview API，和Go版本逻辑完全一致：通过客户端传入的ServiceAccount Token发起验证请求，校验Token有效性及是否匹配指定受众（这里为"server"），完美适配你提到的通过token卷投影共享ServiceAccount Token、实现服务端对客户端认证的场景。

内容的提问来源于stack exchange，提问作者Al A