我来帮你搞定这个问题！核心思路是在Zuul网关层完成令牌解析和身份信息传递，让下游微服务能直接复用Spring Security的标准权限配置，不需要在每个微服务里重复解析令牌。下面分步骤给你讲清楚：

1. Zuul端：实现前置过滤器解析令牌 #

首先要在Zuul里写一个前置过滤器，负责从请求中提取自定义令牌、解析出角色等Claims信息，然后将这些身份数据传递给下游微服务（因为Zuul和微服务是独立进程，无法直接共享SecurityContext，所以用请求头传递是最直接的方式）。

代码示例：Zuul前置过滤器 #

@Component
public class TokenAuthZuulFilter extends ZuulFilter {

    // 注入你自己的令牌解析工具类，比如处理JWT的自定义解析器
    @Autowired
    private CustomTokenParser tokenParser;

    @Override
    public String filterType() {
        return "pre"; // 标记为前置过滤器，路由前执行
    }

    @Override
    public int filterOrder() {
        return 1; // 执行顺序，确保在路由逻辑前运行
    }

    @Override
    public boolean shouldFilter() {
        // 可以根据请求路径做过滤判断，比如排除公开接口
        return true;
    }

    @Override
    public Object run() throws ZuulException {
        RequestContext ctx = RequestContext.getCurrentContext();
        HttpServletRequest request = ctx.getRequest();

        // 从请求头获取令牌（假设格式是Bearer <token>）
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            try {
                // 解析令牌，提取Claims中的用户名和角色
                TokenClaims claims = tokenParser.parse(token);
                String username = claims.getUsername();
                List<String> roles = claims.getRoles();

                // 将身份信息通过自定义请求头传递给微服务
                ctx.addZuulRequestHeader("X-User-Name", username);
                ctx.addZuulRequestHeader("X-User-Roles", String.join(",", roles));
            } catch (InvalidTokenException e) {
                // 令牌无效，直接拦截请求返回401
                ctx.setSendZuulResponse(false);
                ctx.setResponseStatusCode(HttpStatus.UNAUTHORIZED.value());
                ctx.setResponseBody("Invalid authentication token");
            }
        } else {
            // 无令牌，拦截请求返回401
            ctx.setSendZuulResponse(false);
            ctx.setResponseStatusCode(HttpStatus.UNAUTHORIZED.value());
            ctx.setResponseBody("Authentication token missing");
        }
        return null;
    }
}

这里的CustomTokenParser是你自己实现的令牌解析类，根据你的自定义令牌格式（比如JWT、自定义加密令牌）完成Claims的提取逻辑。

2. 微服务端：接收身份信息并构建Spring Security上下文 #

微服务需要从Zuul传递的请求头中拿到用户身份和角色，然后构建Spring Security的Authentication对象并存入SecurityContextHolder，这样后续的权限校验逻辑就能直接复用Spring Security的标准配置了。

第一步：写一个请求过滤器构建SecurityContext #

@Component
public class SecurityContextInitializerFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        // 从Zuul传递的请求头中获取信息
        String username = request.getHeader("X-User-Name");
        String rolesHeader = request.getHeader("X-User-Roles");

        if (username != null && rolesHeader != null) {
            // 将角色转换为Spring Security需要的GrantedAuthority集合
            // 注意：Spring Security默认要求角色前缀为ROLE_，所以这里要加上
            List<GrantedAuthority> authorities = Arrays.stream(rolesHeader.split(","))
                    .map(role -> new SimpleGrantedAuthority("ROLE_" + role.trim()))
                    .collect(Collectors.toList());

            // 构建Authentication对象（密码可以设为null，因为已经在Zuul层完成认证）
            Authentication auth = new UsernamePasswordAuthenticationToken(
                    username,
                    null,
                    authorities
            );

            // 将Authentication存入SecurityContext，供后续权限校验使用
            SecurityContextHolder.getContext().setAuthentication(auth);
        }

        filterChain.doFilter(request, response);
    }
}

第二步：配置Spring Security，让自定义过滤器生效 #

现在你就可以像使用标准Spring Security一样配置微服务的权限了，只需要把上面的过滤器加入到Security过滤器链中，同时关闭微服务自身的认证逻辑（因为认证已经在Zuul层完成）：

@Configuration
@EnableWebSecurity
public class MicroserviceSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SecurityContextInitializerFilter securityContextFilter;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .csrf().disable()
                .authorizeRequests()
                // 用标准的Spring Security方式配置权限
                .antMatchers("/admin/**").hasRole("ADMIN")
                .antMatchers("/user/**").hasAnyRole("USER", "ADMIN")
                .anyRequest().authenticated()
                .and()
                // 将自定义过滤器放到Spring Security认证过滤器的前面
                .addFilterBefore(securityContextFilter, UsernamePasswordAuthenticationFilter.class);
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        // 这里不需要配置任何认证提供者，因为认证已经在Zuul完成了
        // 留空即可，避免微服务自身处理认证逻辑
    }
}

关键注意事项 #

• 角色前缀：Spring Security的hasRole()方法默认要求角色以ROLE_为前缀，所以在微服务转换角色时一定要加上这个前缀，否则权限校验会失败。
• 通信安全：确保Zuul和微服务之间的通信使用HTTPS，避免请求头中的身份信息被篡改。
• 异常拦截：Zuul过滤器要处理令牌过期、无效等异常，直接拦截请求，不让非法请求到达微服务。

这样配置完成后，你就可以完全用标准Spring Security的方式（比如hasRole注解、@PreAuthorize）来配置微服务的接口权限，而用户的角色信息全部来自Zuul解析的自定义令牌。

内容的提问来源于stack exchange，提问作者icordoba