能否通过证书仅保护Spring Cloud Zuul网关的单个REST路由？

当然可行！针对你在Cloud Foundry上的Spring Cloud Netflix Zuul网关，要给/api/v1/authorizations路由配置专属的客户端证书认证，完全可以通过以下步骤实现：

1. 利用Spring Security的X.509认证能力 #

Zuul基于Spring Boot，天然支持Spring Security的X.509客户端证书认证机制。你需要：

• 准备好信任库（JKS格式），里面存放允许访问该路由的客户端证书的CA根证书或直接存放客户端证书
• 在应用配置文件（比如application.yml）中配置信任库信息：

server:
  ssl:
    enabled: true
    key-store: classpath:server.jks
    key-store-password: your-server-keystore-pass
    trust-store: classpath:truststore.jks
    trust-store-password: your-truststore-pass
    client-auth: need # 强制要求客户端提供证书
security:
  x509:
    subject-principal-regex: CN=(.*?),

• 编写Spring Security配置类，启用X.509认证并做路由隔离：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 仅对目标路由强制证书认证
                .antMatchers("/api/v1/authorizations/**").authenticated()
                // 其他路由保持原有的token认证逻辑
                .anyRequest().permitAll()
            .and()
            .x509()
                .subjectPrincipalRegex("CN=(.*?),")
                .userDetailsService(userDetailsService());
    }

    @Bean
    public UserDetailsService userDetailsService() {
        // 简单实现：从证书CN字段提取用户名，赋予基础权限
        return username -> new User(username, "", AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_CERT_AUTHORIZED"));
    }
}

2. 适配Cloud Foundry环境的SSL配置 #

Cloud Foundry的路由层默认会做SSL终止，你可以根据场景选择两种方案：

• 方案一：让Zuul直接处理SSL连接
  部署Zuul应用时，通过cf push命令指定SSL证书和密钥，或者绑定Cloud Foundry的证书服务实例，让应用直接监听HTTPS端口，这样客户端的证书会直接被Zuul接收验证。
• 方案二：配置路由透传客户端证书
  如果保留路由层的SSL终止，需要配置Cloud Foundry的路由将客户端证书信息通过X-Forwarded-Client-Cert请求头传递给Zuul，然后在Zuul中自定义过滤器提取该头信息，结合Spring Security完成认证。

3. 验证效果 #

• 生成符合信任库要求的客户端证书，导入到测试客户端（比如curl、Postman）中
• 调用/api/v1/authorizations端点，携带有效证书，应该能正常访问
• 使用未授权的证书或不携带证书调用，会被Spring Security拒绝访问

通过以上配置，就能实现仅允许持有指定证书的客户端访问该特定路由的需求，同时不影响其他路由原有的token认证逻辑。

内容的提问来源于stack exchange，提问作者m1well