基于Spring Boot 2.5.7的微服务安全实现方案选型咨询

结合你的需求（用户权限识别、支持服务间直接调用、适配2.5.7版本、免费），以下两种方案都可以落地，你可以根据项目规模选择：

方案一：Spring Security + 自签发JWT（轻量定制化方案） #

该方案无需引入复杂的OAuth2流程，实现成本低，适配性强：

• 独立开发一个鉴权服务，负责用户账号校验、权限查询、JWT签发，JWT payload中存储用户ID、权限标识列表、过期时间等信息
• Zuul网关层添加全局过滤器，对所有非公开接口校验请求头Authorization字段的JWT合法性，校验不通过直接返回401，校验通过后将JWT原样转发到下游微服务
• 所有业务微服务都集成spring-boot-starter-security和jjwt依赖，自定义JWT解析过滤器，请求到达后从请求头提取JWT解析，将用户权限信息存入SecurityContextHolder，直接用Spring Security原生的@PreAuthorize等注解做接口权限校验
• 微服务之间直接调用时，通过Feign请求拦截器自动将当前请求上下文的JWT透传到被调用方，被调用方用相同的逻辑解析身份和权限，不需要经过网关转发

适配2.5.7版本的核心依赖配置 #

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

注意：JWT签名密钥需要所有服务统一配置，做好保密，过期时间根据业务安全要求设置即可。

方案二：Spring Authorization Server（官方标准方案） #

你提到的Spring Authorization Server（SAS）0.2.x版本已经适配Spring Boot 2.5.x，虽当时标注为实验性，但功能已经稳定可用于生产，是Spring官方后续主推的认证授权标准实现，符合OAuth2.1规范：

• 独立部署SAS作为授权服务器，支持授权码、客户端凭证等多种授权模式，可满足用户登录授权、服务间调用授权两种场景
• Zuul网关配置Token透传逻辑，将前端携带的访问令牌原样转发到下游微服务
• 所有业务微服务作为资源服务器，集成spring-boot-starter-oauth2-resource-server依赖，直接用Spring Security原生能力解析令牌、校验权限
• 微服务之间调用时既可以透传用户原始访问令牌保留用户身份信息，也可以用客户端凭证模式获取专属的服务调用令牌，满足无感服务间调度的需求

适配2.5.7版本的核心依赖配置 #

<!-- 授权服务器依赖，仅SAS服务需要引入 -->
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-oauth2-authorization-server</artifactId>
    <version>0.2.3</version>
</dependency>
<!-- 资源服务器依赖，所有业务微服务都需要引入 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

该方案后续升级Spring Boot版本有官方兼容支持，适合长期迭代、规模较大的微服务项目。

选型建议 #

• 项目规模小、迭代快、无第三方系统接入需求，选方案一，实现简单灵活，定制成本低
• 项目规模大、对安全合规要求高、后续有对外开放接口的需求，选方案二，符合标准，长期维护成本低

内容的提问来源于stack exchange，提问作者antonia simionescu