Spring Cloud Gateway集成Okta Bearer Token时hasAuthority()不生效

配置不生效是三个核心问题叠加导致的，逐个修改即可：

• 第一，安全配置栈用错。Spring Cloud Gateway 是基于WebFlux 响应式栈构建的，你当前继承WebSecurityConfigurerAdapter编写的是Servlet栈的Spring Security规则，网关启动时根本不会加载这套配置，等于你写的POST路径鉴权逻辑完全没运行，只有默认的OAuth2资源服务器基础拦截（仅校验Token是否有效）在工作，自然所有带有效Token的请求不管方法类型都能放行。
• 第二，路径匹配规则覆盖范围不足。你写的antMatchers(HttpMethod.POST,"/*")仅能匹配根路径下的一级路径POST请求（比如/user这类），但凡请求是多级路径（比如/user/create、/order/pay）都匹配不到这条规则，会直接落到后续的anyRequest().authenticated()逻辑，只要认证通过就放行。
• 第三，Okta组声明和Spring Security的权限映射缺失。默认情况下Spring Security解析JWT时，只会把scope声明里的内容加上SCOPE_前缀映射为权限，你在Okta中配置的用户组（admin）默认存在groups声明里，不会被自动识别为可用权限，就算配置栈正确，hasAuthority("admin")也匹配不到对应规则。

删除原有Servlet栈的安全配置，替换为适配WebFlux的网关安全配置，同时补全权限提取逻辑、修正路径匹配规则即可，参考代码如下：

@EnableWebFluxSecurity
@Configuration
public class GatewaySecurityConfig {
    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        http
            .authorizeExchange(exchanges -> exchanges
                // 用/**匹配所有层级路径的POST请求
                .pathMatchers(HttpMethod.POST, "/**").hasAuthority("admin")
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(resourceServer -> resourceServer
                .jwt(jwt -> jwt.jwtAuthenticationConverter(grantedAuthoritiesExtractor()))
            );
        // 网关为无状态服务，关闭csrf防护
        http.csrf().disable();
        return http.build();
    }

    // 提取Okta JWT内的groups声明映射为系统权限
    private Converter<Jwt, ? extends Mono<? extends AbstractAuthenticationToken>> grantedAuthoritiesExtractor() {
        JwtGrantedAuthoritiesConverter defaultScopeConverter = new JwtGrantedAuthoritiesConverter();
        return jwt -> {
            Collection<GrantedAuthority> authorities = new ArrayList<>(defaultScopeConverter.convert(jwt));
            // 读取Okta注入的用户组列表，直接映射为权限
            List<String> userGroups = jwt.getClaimAsStringList("groups");
            if (userGroups != null) {
                userGroups.stream()
                    .map(SimpleGrantedAuthority::new)
                    .forEach(authorities::add);
            }
            return Mono.just(new JwtAuthenticationToken(jwt, authorities));
        };
    }
}

如果你在Okta配置组声明时没有用默认的groups作为字段名，把代码中读取声明的key替换为你实际配置的字段名即可。修改完成后重启网关，非admin组的用户即使携带有效Token发起POST请求，也会被直接拦截返回403状态码。

内容的提问来源于stack exchange，提问作者ABD