使用Spring Security保护Azure Java Spring Cloud Function配置失效问题咨询

根因 #

普通Spring Boot Web应用的请求会走Servlet/Reactive的完整请求链路，Spring Security的过滤器链会嵌入链路中完成身份校验；但默认Azure Function Java运行时是直接触发Function业务方法，绕开了Spring MVC的DispatcherServlet请求链路，因此你编写的HttpSecurity配置完全不会被触发，只有本地直接启动Spring Boot Web服务时才能生效。

修复方案 #

方案1：手动调用Spring Security校验逻辑（适配所有场景） #

直接在Azure Function的业务入口处，手动提取请求头中的JWT令牌，调用Spring Security的JwtDecoder完成校验，校验通过后再执行业务逻辑，示例代码如下：

@Autowired
private JwtDecoder jwtDecoder;

@FunctionName("yourBizFunction")
public HttpResponseMessage run(
        @HttpTrigger(
            name = "req", 
            methods = {HttpMethod.GET, HttpMethod.POST}, 
            authLevel = AuthorizationLevel.ANONYMOUS
        ) HttpRequestMessage<Optional<String>> request,
        final ExecutionContext context) {
    // 提取Authorization头中的令牌
    String authHeader = request.getHeaders().get("Authorization");
    if (authHeader == null || !authHeader.startsWith("Bearer ")) {
        return request.createResponseBuilder(HttpStatus.UNAUTHORIZED)
                .body("缺少合法的Authorization请求头")
                .build();
    }
    String token = authHeader.substring(7);
    try {
        Jwt jwt = jwtDecoder.decode(token);
        // 可自定义扩展校验逻辑，比如校验scope、角色等声明
        Collection<String> scopes = jwt.getClaimAsStringList("scope");
        if (!scopes.contains("required_scope")) {
            return request.createResponseBuilder(HttpStatus.FORBIDDEN)
                    .body("权限不足")
                    .build();
        }
        // 校验通过后执行业务逻辑
        return request.createResponseBuilder(HttpStatus.OK)
                .body("请求处理成功")
                .build();
    } catch (JwtException e) {
        // 令牌过期、签名非法等场景直接返回401
        return request.createResponseBuilder(HttpStatus.UNAUTHORIZED)
                .body("令牌不合法")
                .build();
    }
}

方案2：开启Spring Cloud Function Azure适配器的Web支持 #

如果你使用Spring Cloud Function框架适配Azure Function，可以开启内置的Servlet链路支持，让Spring Security的过滤器链正常生效：

1. 在application.properties中添加配置：

spring.cloud.function.azure.http.enabled=true

2. 将所有HTTP触发器的authLevel设置为AuthorizationLevel.ANONYMOUS，避免Azure原生密钥校验和Spring Security校验冲突
3. 原有Spring Security配置无需修改即可正常生效

方案3：使用Azure原生身份校验（无需修改业务代码） #

直接在Azure门户为Function App启用内置身份验证，配置对应的OAuth2身份提供方，所有请求到达Function代码前会由Azure平台完成令牌校验，校验通过的请求才会转发到业务代码，同时用户身份信息会通过请求头透传，适合不想侵入业务代码的场景。

注意事项 #

• 如果你使用Spring Boot 3 + Spring Security 6，原有的WebSecurityConfigurerAdapter已经废弃，建议改用SecurityFilterChain Bean的方式编写安全配置，写法如下：

@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http.authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
    return http.build();
}

• 所有方案都需要将HTTP触发器的authLevel设置为ANONYMOUS，避免Azure原生的功能级密钥校验拦截请求，导致Spring Security逻辑无法执行。

内容的提问来源于stack exchange，提问作者José Antonio Davila Pérez