Spring Cloud Gateway如何将当前用户凭证传播至底层服务？

你猜的没错，要把当前用户的用户名和角色传播到底层服务，确实需要在路由配置中添加自定义的Gateway过滤器。结合你现有的Spring Security配置，我给你梳理具体的实现步骤和注意事项：

1. 从Reactive安全上下文获取用户信息 #

因为Spring Cloud Gateway基于WebFlux（异步非阻塞）架构，不能使用传统的SecurityContextHolder，得用ReactiveSecurityContextHolder来获取已认证用户的信息。示例逻辑如下：

import org.springframework.security.core.context.ReactiveSecurityContextHolder;
import org.springframework.security.core.GrantedAuthority;
import java.util.stream.Collectors;

// 提取用户信息的示例代码
ReactiveSecurityContextHolder.getContext()
    .map(ctx -> ctx.getAuthentication())
    .filter(auth -> auth != null && auth.isAuthenticated())
    .subscribe(auth -> {
        String username = auth.getName();
        // 将角色集合转为逗号分隔的字符串，方便传递
        String roles = auth.getAuthorities().stream()
            .map(GrantedAuthority::getAuthority)
            .collect(Collectors.joining(","));
        // 后续可将这些信息注入到请求中
    });

2. 在路由配置中添加自定义过滤器传递信息 #

你可以直接在RouteLocator里嵌入自定义过滤器，把用户信息通过请求头转发给底层服务。修改你的路由配置如下：

import org.springframework.security.core.context.ReactiveSecurityContextHolder;
import org.springframework.security.core.GrantedAuthority;
import java.util.stream.Collectors;

@Bean
RouteLocator routeLocator(RouteLocatorBuilder builder) {
    return builder.routes()
        // 替换为你的实际路由规则和目标服务地址
        .route("backend-service-route", r -> r.path("/backend/**")
            .filters(f -> f.filter((exchange, chain) -> {
                return ReactiveSecurityContextHolder.getContext()
                    .map(ctx -> ctx.getAuthentication())
                    .defaultIfEmpty(null)
                    .flatMap(auth -> {
                        ServerHttpRequest originalRequest = exchange.getRequest();
                        // 若用户已认证，添加自定义请求头
                        if (auth != null && auth.isAuthenticated()) {
                            String username = auth.getName();
                            String roles = auth.getAuthorities().stream()
                                .map(GrantedAuthority::getAuthority)
                                .collect(Collectors.joining(","));
                            
                            ServerHttpRequest modifiedRequest = originalRequest.mutate()
                                .header("X-Forwarded-User", username)
                                .header("X-Forwarded-Roles", roles)
                                .build();
                            return chain.filter(exchange.mutate().request(modifiedRequest).build());
                        }
                        // 未认证用户直接放行
                        return chain.filter(exchange);
                    });
            }))
            .uri("lb://BACKEND-SERVICE")) // 替换为你的底层服务地址（比如服务发现ID）
        .build();
}

核心思路是：在请求转发到底层服务前，从安全上下文取出用户信息，写入自定义请求头，底层服务就能通过读取这些请求头获取用户数据。

3. 底层服务接收用户信息 #

底层服务只需通过@RequestHeader注解就能拿到这些转发的用户信息：

@RestController
@RequestMapping("/backend")
public class BackendController {

    @GetMapping("/user-info")
    public ResponseEntity<String> getUserInfo(
        @RequestHeader(value = "X-Forwarded-User", required = false) String username,
        @RequestHeader(value = "X-Forwarded-Roles", required = false) String roles) {
        return ResponseEntity.ok(String.format("当前用户：%s，角色：%s", username, roles));
    }
}

关键注意事项 #

• 安全上下文有效性：你的当前Security配置是anyExchange().permitAll()，如果部分路径需要用户认证，要确保这些路径的认证逻辑能正确将用户信息写入ReactiveSecurityContext，否则过滤器无法获取到用户数据。
• 生产环境安全性：生产环境不建议明文传递用户名和角色，可考虑使用JWT令牌：Gateway解析JWT后将用户信息放入请求头，或者直接传递JWT给底层服务让其自行解析，避免信息被篡改。
• WebFlux异步特性：必须使用ReactiveSecurityContextHolder，不能用基于ThreadLocal的SecurityContextHolder，否则在异步线程中无法获取正确的用户信息。

内容的提问来源于stack exchange，提问作者Roman Q