微服务含自定义安全配置时Zuul请求不转发问题求助

我之前维护过类似的Spring Boot + Zuul + Consul + OAuth2自定义认证架构，也碰到过一模一样的问题。结合你的场景，这个问题通常出在Token传递、安全上下文同步或者下游服务的规则配置上，下面给你拆解排查方向和解决方案：

一、先确认Token是否被Zuul正确传递到下游服务 #

Zuul默认会过滤掉Authorization这类敏感请求头，如果你的AccessToken是放在这个头里的，下游服务根本拿不到Token，自然会被自定义安全规则拦截。

解决方案： #

修改Zuul配置，清空敏感头列表，让Token能正常传递：

zuul:
  sensitive-headers:  # 留空后默认敏感头不会被过滤
  routes:
    your-service:
      path: /your-service/**
      service-id: your-service  # 对应Consul里的微服务ID

如果你只想放行Authorization头，也可以指定保留其他敏感头：

zuul:
  ignored-headers:
  sensitive-headers: Cookie,Set-Cookie  # 只保留Cookie相关敏感头，放行Authorization

二、检查OAuth2安全上下文是否同步到下游服务 #

如果Zuul已经校验了Token并解析出用户的Authentication信息，但下游服务需要基于这个上下文做权限校验（比如自定义角色、权限规则），就得把上下文传递过去，不然下游服务会判定请求未认证。

解决方案： #

1. 调整过滤器顺序，让OAuth2资源服务器过滤器在Zuul路由之前执行：

security:
  oauth2:
    resource:
      filter-order: 3  # 确保这个顺序在Zuul路由过滤器之前

2. 自定义ZuulFilter，把认证信息封装到请求头，下游服务再解析：

public class AuthContextTransferFilter extends ZuulFilter {
    @Override
    public String filterType() {
        return "pre";
    }

    @Override
    public int filterOrder() {
        return 1;
    }

    @Override
    public boolean shouldFilter() {
        return SecurityContextHolder.getContext().getAuthentication() != null;
    }

    @Override
    public Object run() throws ZuulException {
        RequestContext ctx = RequestContext.getCurrentContext();
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        // 传递用户名、权限等信息到下游
        ctx.addZuulRequestHeader("X-Auth-Username", auth.getName());
        // 如果是JWT Token，直接传递原Token
        String token = ((OAuth2AuthenticationDetails) auth.getDetails()).getTokenValue();
        ctx.addZuulRequestHeader("Authorization", "Bearer " + token);
        return null;
    }
}

三、排查下游微服务的安全规则配置 #

下游微服务的自定义安全规则可能没正确识别Zuul转发的请求：

• 比如规则拦截所有未携带有效Token的请求，但实际上Zuul已经完成校验，下游应该信任Zuul的结果
• 白名单没包含Zuul的IP，导致请求被当成非法请求拦截

解决方案： #

1. 让下游服务信任Zuul的认证，比如在Security配置中添加Zuul地址到白名单，或者配置只校验Token合法性：

@Configuration
@EnableWebSecurity
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/**").access("#oauth2.hasScope('read')")
            .and()
            .csrf().disable();
    }

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.resourceId("your-resource-id");
    }
}

2. 如果下游自定义规则依赖用户权限，确保能从请求头的Token中正确解析出权限信息。

四、排查Consul服务发现的路由正确性 #

有时候请求转发失败是因为Zuul没从Consul正确获取微服务实例，或者路由路径配置错误。

检查点： #

• 确认Consul中微服务的service-id和Zuul路由配置的service-id完全一致
• 查看Zuul日志，确认请求路径匹配到了正确的路由规则
• 绕过Zuul直接调用微服务接口，确认微服务自身功能正常

快速排查步骤 #

1. 直接调用下游微服务接口（带Token），排除微服务自身安全规则问题
2. 抓包查看Zuul转发的请求，检查请求头是否包含Token字段
3. 查看Zuul和下游服务的日志，定位请求被拦截的具体原因（Token缺失、权限不足还是路由错误）

内容的提问来源于stack exchange，提问作者T.Er