Spring Boot+Zuul+Eureka架构下OAuth2认证网关访问异常及令牌传递问题

1. 网关调用认证接口返回未授权的根因 #

当前Zuul配置中，zuul.sensitive-headers定义的拦截列表包含Authorization头，Zuul的内置过滤器会在转发请求到下游服务前，自动移除所有匹配该列表的请求头。
OAuth2令牌接口的客户端身份校验逻辑，依赖Authorization请求头携带的Basic认证凭证。直连认证服务端口时，请求头无拦截，可正常通过校验；经过Zuul转发时，Authorization头被直接剔除，认证服务无法识别客户端身份，因此返回未授权错误。
修复方式二选一即可：

• 调整全局敏感头规则，将Authorization从拦截列表移除：

zuul:
  sensitive-headers: Cookie,Set-Cookie

• 仅针对认证服务的路由单独放通Authorization头，不影响全局其他路由的拦截策略：

zuul:
  routes:
    auth-service:
      path: /auth-service/**
      sensitive-headers: Cookie,Set-Cookie

调整配置后，网关转发的请求会完整携带Authorization头，即可正常获取令牌。

2. 多微服务间的令牌透传实现 #

令牌透传的核心是保证请求中的合法令牌在所有链路中完整传递，具体实现要点：

• 全局将Authorization从敏感头拦截列表中移除，确保Zuul转发任何下游业务服务的请求时，不会主动剔除令牌相关头信息。
• 职责拆分：网关仅负责请求路由和头透传，不做令牌内容的解析、替换；各下游微服务集成OAuth2资源服务器组件，自行校验透传令牌的合法性，和网关层无强耦合。
• 边界优化：在网关层增加前置校验逻辑，对未携带合法令牌的请求直接拦截返回401，避免无效请求透传到下游服务；校验通过的请求原样透传所有业务头，不做内容篡改。
• 扩展适配：如果需要将令牌解析出的用户ID、租户ID等业务标识传递给下游，可在Zuul前置过滤器中将这些标识追加到请求头中，注意这些自定义头需要排除在敏感头拦截列表外。

内容的提问来源于stack exchange，提问作者Mr.Rajeh