Micronaut 3应用JWT验证时SecurityRule的Authentication为null如何解决

1. 缺失业务接口的安全拦截配置 #

你当前的intercept-url-map仅配置了swagger相关路径允许匿名访问，其余业务接口无对应安全规则，Micronaut Security不会主动对无安全配置的接口执行JWT解析逻辑，直接导致Authentication为null。
需补充全局业务接口拦截规则，配置示例：

micronaut:
  security:
    intercept-url-map:
      # 原有swagger配置保留
      - pattern: /**
        access:
          - isAuthenticated()

如果有其他需要匿名访问的接口，单独添加优先级更高的pattern配置即可。

2. 自定义角色Claim映射不匹配 #

Micronaut JWT默认从roles、permissions、scope三类Claim中提取角色，你的权限信息存放在fb_product、identityserver等自定义Claim字段中，默认逻辑无法识别，会导致getRoles()返回空值。
可以通过配置指定自定义角色字段：

micronaut:
  security:
    token:
      jwt:
        roles-name: ["identityserver", "fb_product", "fb_order", "fb_payment"]

如果需要更灵活的角色拼接逻辑（比如将fb_product:owner整合成完整权限标识），可以自定义ClaimsPopulator实现：

@Singleton
public class CustomClaimsPopulator implements ClaimsPopulator {
    @Override
    public void populate(@NonNull Map<String, Object> claims, @NonNull AuthenticationRequest<?, ?> authenticationRequest) {
        List<String> roles = new ArrayList<>();
        // 把自定义Claim拼接为「资源标识:权限值」格式的角色
        if (claims.containsKey("fb_product")) {
            roles.add("fb_product:" + claims.get("fb_product"));
        }
        if (claims.containsKey("identityserver")) {
            roles.add("identityserver:" + claims.get("identityserver"));
        }
        // 其余资源字段同理处理
        claims.put("roles", roles);
    }
}

同步调整你的权限校验逻辑匹配拼接后的格式：

if (permissions.length > 0 && resourceIdName.isPresent() && authentication != null) {
    List<String> roles = authentication.getRoles();
    String resource = resourceIdName.get();
    return Arrays.stream(permissions)
            .anyMatch(perm -> roles.contains(resource + ":" + perm)) ?
            Mono.just(SecurityRuleResult.ALLOWED) : Mono.just(SecurityRuleResult.REJECTED);
}

3. 自签证书导致JWKS校验失败 #

你使用的是本地HTTPS的Identity Server，如果是自签SSL证书，Micronaut默认会拒绝不受信任的证书，导致JWT签名校验失败，也会出现Authentication为null的情况。
可以临时添加配置禁用SSL校验验证问题（生产环境请替换为正式可信证书）：

micronaut:
  security:
    token:
      jwt:
        signatures:
          jwks:
            IdentityServer:
              url: 'https://localhost:5001/.well-known/openid-configuration/jwks'
              insecure: true

4. 依赖完整性检查 #

确认项目依赖中已引入完整的JWT安全组件，以Gradle配置为例：

implementation("io.micronaut.security:micronaut-security-jwt")

内容的提问来源于stack exchange，提问作者San Jaisy