如何将Spring MVC授权信息传递至Angular/NodeJS应用页面

一、同源场景：直接复用Spring认证Cookie #

如果两个应用部署在同一域名/父域名下（比如Spring应用在app.example.com，Angular/Node在report.example.com），这是最简单的方案：

• 调整Spring认证Cookie配置：如果用Spring Security默认的Session认证，确保Cookie的domain设为父域名（如.example.com），path设为/，这样子域名应用能自动获取Cookie。
• 跳转逻辑：Spring主页面的菜单项直接指向Angular页面的URL，浏览器会自动携带Spring的认证Cookie（如JSESSIONID）。
• NodeJS验证：后端从请求中取出Cookie，调用Spring的自定义验证接口（比如/api/check-session），传入JSESSIONID，Spring通过HttpSession验证会话有效性，返回用户信息，NodeJS确认后再返回报表数据。

二、跨域场景：基于临时Token传递认证信息 #

如果是跨域部署，Cookie机制受限，可采用临时Token方案：

• Spring端生成Token：在用户点击菜单项时，Spring后端通过SecurityContextHolder.getContext().getAuthentication()获取当前用户，生成一个有效期较短的Token（可使用JWT，或自定义Token存储在Redis/MSSQL中），关联用户ID。
• 跳转传递Token：将Token作为URL参数拼接在Angular页面链接后，比如/angular-report?authToken=xxx。
• Angular前端处理：页面加载时提取URL中的Token，后续调用NodeJS接口时，将Token放在请求头（如Authorization: Bearer xxx）或请求参数中。
• NodeJS验证：拿到Token后，调用Spring的/api/validate-token接口，传入Token，Spring验证Token有效性并返回用户信息，NodeJS校验通过后返回报表数据。

三、标准方案：基于OAuth2.0实现认证共享（推荐长期架构） #

Spring官方提供OAuth2.0体系来实现信任应用间的认证共享：

• 将现有Spring MVC应用配置为OAuth2授权服务器，Angular/Node应用作为资源服务器。
• 用户在Spring登录后，点击菜单项时，Spring自动完成信任应用的授权流程（可配置为无需用户确认），生成Access Token。
• Angular前端获取Access Token后，调用NodeJS接口时携带Token；NodeJS可直接调用Spring的OAuth2验证端点，或解析JWT格式的Token完成校验。
• 该方案符合行业标准，扩展性强，后续新增应用无需重复开发认证逻辑。

四、针对已尝试方案的优化建议 #

• 收集Spring认证参数：无需依赖调试工具，在Spring后端可直接通过HttpServletRequest.getCookies()获取认证Cookie，通过SecurityContextHolder获取当前登录用户的完整认证信息。
• NodeJS与Spring的验证交互：核心是通过一个统一的Spring验证接口完成校验，避免在Node端直接解析Spring的认证逻辑，降低耦合度。

内容的提问来源于stack exchange，提问作者Atul