Spring Cloud Gateway GatewayFilterChain内Authorization头部校验实现方案问询

在Reactor响应式编程模型中，所有异步逻辑都需要通过操作符串联到响应流中，绝对不能调用block()方法阻塞IO线程，否则会直接导致网关性能雪崩。你可以通过flatMap操作符将鉴权请求和后续过滤器链逻辑串联，天然实现「鉴权请求返回后再执行后续流程」的非阻塞逻辑。

完整实现代码 #

import org.springframework.http.HttpStatus;
import reactor.core.publisher.Mono;

public class AuthenticationFilter implements GlobalFilter {
        @Autowired
        private WebClient.Builder webClientBuilder;

        @Override
        public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
            // 从请求中提取鉴权头信息
            AuthHeaderDto authHeaderDto = retrieveHeaderDto(exchange.getRequest());
            // 发起异步鉴权请求
            return webClientBuilder.build().post()
                .uri(uri)
                .body(BodyInserters.fromPublisher(Mono.just(authHeaderDto), AuthHeaderDto.class))
                .retrieve()
                .bodyToMono(AuthResponse.class)
                // flatMap将鉴权结果流和后续过滤器流串联，只有鉴权请求返回才会执行这里的逻辑
                .flatMap(authResponse -> {
                    if (authResponse.isValid()) {
                        // 鉴权通过，设置200状态码（可选，后续过滤器/路由服务也会覆盖）
                        exchange.getResponse().setStatusCode(HttpStatus.OK);
                        // 继续执行后续过滤器链
                        return chain.filter(exchange);
                    } else {
                        // 鉴权不通过，设置401状态码
                        exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
                        // 直接结束请求，不进入后续过滤器
                        return exchange.getResponse().setComplete();
                    }
                })
                // 处理鉴权请求异常（超时、鉴权服务不可用、返回非200状态等）
                .onErrorResume(e -> {
                    exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
                    return exchange.getResponse().setComplete();
                });
        }
}

逻辑说明 #

• 不需要手动实现「等待」逻辑，Reactor的流天生就是按顺序执行的：flatMap内的逻辑只有等上游的鉴权请求返回结果才会触发，后续过滤器链的执行时机天然晚于鉴权请求返回。
• 全程所有IO操作都是非阻塞的，Netty IO线程不会被挂起，完全符合Spring Gateway的响应式设计要求。
• 额外添加的onErrorResume是为了处理鉴权服务调用失败的场景，避免异常直接抛给客户端。

内容的提问来源于stack exchange，提问作者ProgrammingBaKa