实现基于JWT的自定义权限验证与动态权限控制

题目

实现基于JWT的自定义权限验证与动态权限控制

信息

• 类型：问答
• 难度：⭐⭐⭐

考点

OAuth2资源服务器配置,JWT令牌验证,自定义权限验证,动态权限控制,异常处理

快速回答

实现该需求需要以下核心步骤：

• 配置Spring Security作为OAuth2资源服务器并启用JWT支持
• 实现自定义JwtAuthenticationConverter转换权限声明
• 创建动态AuthorizationManager实现基于数据库的权限验证
• 自定义异常处理返回标准HTTP状态码
• 使用@PreAuthorize注解实现方法级安全控制

1. 核心原理说明

在Spring Security中实现自定义JWT权限验证涉及以下关键组件：

• 资源服务器配置：通过HttpSecurity.oauth2ResourceServer()启用OAuth2支持
• JWT解码器：使用JwtDecoder验证令牌签名和有效期
• 权限转换器：自定义JwtAuthenticationConverter将JWT声明映射为GrantedAuthority
• 动态权限验证：实现AuthorizationManager接口查询数据库验证权限
• 异常处理：自定义AuthenticationEntryPoint和AccessDeniedHandler返回标准HTTP状态码

2. 完整代码实现

资源服务器配置

@Configuration
@EnableWebSecurity
@EnableMethodSecurity(prePostEnabled = true)
public class SecurityConfig {

    @Value("${spring.security.oauth2.resourceserver.jwt.issuer-uri}")
    private String issuerUri;

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authz -> authz
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .decoder(jwtDecoder())
                    .jwtAuthenticationConverter(customJwtAuthConverter())
                )
                .authenticationEntryPoint(customAuthEntryPoint())
            )
            .exceptionHandling(ex -> ex
                .accessDeniedHandler(customAccessDeniedHandler())
            );
        return http.build();
    }

    @Bean
    public JwtDecoder jwtDecoder() {
        return JwtDecoders.fromIssuerLocation(issuerUri);
    }

    // 后续自定义组件将在此定义
}

自定义JWT权限转换器

public class CustomJwtAuthConverter implements Converter<Jwt, AbstractAuthenticationToken> {

    @Override
    public AbstractAuthenticationToken convert(Jwt jwt) {
        // 从JWT自定义声明中提取权限
        Map<String, Object> realmAccess = jwt.getClaim("realm_access");
        List<String> roles = (List<String>) realmAccess.get("roles");

        // 转换为GrantedAuthority集合
        Set<GrantedAuthority> authorities = roles.stream()
            .map(role -> new SimpleGrantedAuthority("ROLE_" + role))
            .collect(Collectors.toSet());

        // 添加自定义声明作为额外权限
        String customPermission = jwt.getClaim("custom_permission");
        if (customPermission != null) {
            authorities.add(new SimpleGrantedAuthority(customPermission));
        }

        return new JwtAuthenticationToken(jwt, authorities);
    }
}

动态权限管理器

@Component
public class DynamicPermissionManager implements AuthorizationManager<RequestAuthorizationContext> {

    @Autowired
    private PermissionService permissionService;

    @Override
    public AuthorizationDecision check(
        Supplier<Authentication> authentication,
        RequestAuthorizationContext context) {

        // 获取当前请求信息
        HttpServletRequest request = context.getRequest();
        String httpMethod = request.getMethod();
        String requestUri = request.getRequestURI();

        // 获取用户权限
        Set<String> userPermissions = authentication.get().getAuthorities().stream()
            .map(GrantedAuthority::getAuthority)
            .collect(Collectors.toSet());

        // 查询数据库获取所需权限
        String requiredPermission = permissionService.resolveRequiredPermission(
            httpMethod, requestUri
        );

        // 动态决策
        boolean granted = userPermissions.contains(requiredPermission);
        return new AuthorizationDecision(granted);
    }
}

自定义异常处理器

@Component
public class CustomAuthEntryPoint implements AuthenticationEntryPoint {
    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response,
                         AuthenticationException authException) throws IOException {

        response.setContentType("application/json");
        response.setStatus(HttpStatus.UNAUTHORIZED.value());

        // 根据异常类型细化错误信息
        String errorMsg = "Authentication failed";
        if (authException instanceof JwtValidationException) {
            errorMsg = "Invalid JWT token";
        } else if (authException instanceof JwtExpiredException) {
            errorMsg = "JWT token expired";
        }

        response.getWriter().write(
            String.format("{ \"error\": \"%s\", \"message\": \"%s\" }", 
            authException.getClass().getSimpleName(), errorMsg)
        );
    }
}

@Component
public class CustomAccessDeniedHandler implements AccessDeniedHandler {
    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response,
                       AccessDeniedException accessDeniedException) throws IOException {

        response.setContentType("application/json");
        response.setStatus(HttpStatus.FORBIDDEN.value());
        response.getWriter().write(
            "{ \"error\": \"Forbidden\", \"message\": \"Insufficient permissions\" }"
        );
    }
}

3. 最佳实践

• 权限粒度控制：结合方法级@PreAuthorize注解实现细粒度控制

  @PreAuthorize("hasPermission('financial_data', 'read')")
  public FinancialData getFinancialData() { /* ... */ }

• 权限缓存：对数据库权限查询结果使用缓存（如Caffeine）减少DB压力
• 声明验证：在JWT转换器中验证aud（受众）和iss（签发者）确保令牌合法性
• 密钥轮换：实现JwtDecoder支持动态获取JWKS应对密钥轮换场景

4. 常见错误

• 权限未刷新：JWT过期前权限变更无法立即生效（解决方案：缩短JWT有效期或使用Opaque Token）
• 过度暴露信息：异常处理中返回过多服务器内部细节导致安全风险
• 签名验证缺失：未正确配置JwtDecoder导致令牌签名未经验证
• 权限设计缺陷：RBAC与ABAC混用导致权限逻辑混乱

5. 扩展知识

• JWT最佳实践：
  • 使用RS256而非HS256保证密钥安全
  • 设置合理的exp（过期时间）和iat（签发时间）
  • 敏感操作要求重新认证（step-up authentication）
• 性能优化：
  • 使用本地缓存存储公钥避免每次请求访问JWKS端点
  • 对权限验证结果实施短期缓存
• 进阶方案：
  • 结合Spring Security ACL实现对象级权限控制
  • 使用OAuth2 Introspection端点验证令牌（适用于需要即时撤销的场景）