如何基于用户身份限制MuleSoft API的资源访问权限

现有官方策略适配说明 #

Client ID Enforcement策略的核心能力仅为校验请求携带的客户端ID的合法性，本身不包含资源路径与身份的绑定校验逻辑，你遇到的校验逻辑跳过属于预期行为，该策略无法直接实现你的需求。

多数主流API网关都支持用官方现成的授权校验策略实现该场景，无需自定义开发，配置逻辑如下：

• 从认证上下文（JWT Claim/网关认证变量/请求头）中提取当前请求对应的合法用户ID，记为request_uid
• 提取请求路径users/{userId}/posts中的路径参数userId，记为path_uid
• 配置校验规则：request_uid与path_uid完全相等时才允许请求通过，否则直接返回403状态码

自定义策略开发步骤 #

如果你的网关没有现成的路径参数与身份匹配的官方策略，可以按照以下步骤开发自定义策略：

1. 前置准备
   • 准备对应网关的策略开发SDK，获取网关自定义策略的部署权限
   • 确认合法用户ID的存储位置：比如JWT的sub字段、请求头X-Authenticated-Userid、网关认证模块的上下文变量
2. 核心逻辑实现
   自定义策略的核心代码只需要实现三步校验：

// 1. 提取当前请求经过认证的合法用户ID
String authenticatedUserId = context.getAuthContext().get("user_id").toString();
// 2. 提取请求路径中的userId参数
String pathUserId = context.getRequest().getPathParam("userId");
// 3. 匹配校验，不匹配则终止请求返回403
if (!authenticatedUserId.equals(pathUserId)) {
    context.setResponseCode(403);
    context.stopRequest();
}

3. 部署与配置
   • 配置策略生效范围：仅绑定users/*/posts及其子路径，避免全局生效占用额外性能
   • 配置策略执行顺序：必须放在认证类策略（Client ID Enforcement、JWT认证等）之后，否则未完成身份校验时无法拿到合法用户ID，会导致校验逻辑失效
   • 灰度发布策略，先使用小流量验证规则正确性后再全量上线

内容的提问来源于stack exchange，提问作者Solid Apps