如何实现JHipster单体应用A转发请求时自动登录到应用B？

嘿，这个场景我之前帮同事处理过类似的，JHipster单体应用跨端口自动登录，核心就是要把A的用户身份安全地传递给B，让B能认可这个身份。下面给你几个实用的方案，你可以根据自己的认证方式来选：

方案1：基于JWT的身份传递（推荐如果用JWT认证） #

如果你的两个应用都是用JWT做身份认证的，这是最省心的方式：

• 首先确保A和B的application.yml里配置完全相同的JWT密钥，也就是jhipster.security.authentication.jwt.secret字段的值要一致，这样B才能验证A生成的JWT令牌的合法性。
• 当A需要转发请求到B时，从当前请求的Authorization头里取出JWT令牌（格式是Bearer <token>）。
• 在转发请求到B的时候，把这个Authorization头原封不动地带上。
• B收到请求后，会自动触发JWT认证流程，解析令牌里的用户信息，自动完成登录，完全不需要额外开发。

方案2：基于共享Session的方式（如果用Session认证） #

如果你的应用是默认的Session-based认证，那需要把Session存储从各自的数据库改成共享存储，比如Redis：

• 给A和B都配置Redis作为Session存储，确保两者连接同一个Redis实例。在application.yml里加这些配置：

  spring:
    session:
      store-type: redis
      redis:
        namespace: jhipster-shared-session
    redis:
      host: 你的Redis地址
      port: 6379
  

• 如果A和B是同域名下的不同端口，默认Cookie会自动共享，用户在A登录后，Session数据存在Redis里，B请求时会读取同一个Session，自动识别用户。
• 如果是不同域名，需要额外配置server.servlet.session.cookie.domain为父域名，同时处理跨域CORS的问题，允许A访问B的接口。

方案3：自定义身份令牌传递（灵活适配场景） #

如果上面两种方案都不适用，比如不想改认证方式或者共享存储，可以自己实现一套身份传递逻辑：

• 先在A和B之间约定一个共享密钥，用来签名身份令牌，防止篡改。
• 当A要转发请求时，生成一个包含当前用户唯一标识（比如username）的临时签名令牌，比如用JWT工具类生成（不用改全局认证配置，只是临时用）：

  // A中生成令牌的代码示例
  String sharedSecret = "你和B约定的密钥";
  String token = Jwts.builder()
      .setSubject(SecurityUtils.getCurrentUserLogin().orElseThrow())
      .setExpiration(Date.from(Instant.now().plusMinutes(5))) // 短有效期，更安全
      .signWith(SignatureAlgorithm.HS512, sharedSecret)
      .compact();
  

• 把这个令牌放到请求头（比如X-Auth-Token）里转发给B。
• B收到请求后，先验证令牌的签名和有效期，然后根据用户名从自己的数据库加载用户信息，手动把用户放到SecurityContext里完成登录：

  // B中验证并登录的代码示例
  String token = request.getHeader("X-Auth-Token");
  String sharedSecret = "和A约定的密钥";
  Claims claims = Jwts.parser()
      .setSigningKey(sharedSecret)
      .parseClaimsJws(token)
      .getBody();
  Optional<User> userOpt = userRepository.findByLogin(claims.getSubject());
  if (userOpt.isPresent()) {
      User user = userOpt.get();
      Authentication auth = new UsernamePasswordAuthenticationToken(user, null, user.getAuthorities());
      SecurityContextHolder.getContext().setAuthentication(auth);
  }
  

注意事项 #

• 不管用哪种方案，一定要保证A和B的用户信息（用户名、权限等）是完全一致的，否则B可能找不到用户或者权限匹配错误。
• 所有传递身份信息的方式都要做签名验证，绝对不能明文传递用户信息，防止被篡改伪造。
• 如果是跨域名场景，要额外配置CORS，允许A的域名访问B的接口，同时处理Cookie或者令牌的跨域传递问题。

内容的提问来源于stack exchange，提问作者Harshit Bhatt