实现基于JWT的自定义权限验证与多租户支持的Spring Security配置

题目

实现基于JWT的自定义权限验证与多租户支持的Spring Security配置

信息

• 类型：问答
• 难度：⭐⭐⭐

考点

OAuth2资源服务器配置,JWT令牌验证,自定义权限验证,多租户支持,异常处理

快速回答

要实现支持多租户的JWT验证和自定义权限控制，需要：

• 配置资源服务器使用JwtDecoder解析多发行方的JWT令牌
• 通过JwtAuthenticationConverter自定义权限映射逻辑
• 实现租户识别与权限验证的集成
• 使用@PreAuthorize结合SpEL实现方法级安全控制
• 自定义异常处理返回标准OAuth2错误响应

1. 核心原理

在OAuth2资源服务器中，Spring Security通过过滤器链处理JWT验证：

1. BearerTokenAuthenticationFilter提取Authorization头中的JWT
2. JwtAuthenticationProvider使用JwtDecoder验证签名和声明
3. 自定义的JwtAuthenticationConverter将JWT声明转换为Authentication对象
4. 权限决策器基于GrantedAuthority执行访问控制

2. 完整配置示例

多租户JWT解码器配置

@Bean
public JwtDecoder jwtDecoder() {
    return new MultiTenantJwtDecoder() {
        @Override
        public Jwt decode(String token) throws JwtException {
            String issuer = extractIssuer(token); // 从JWT解析发行方
            return NimbusJwtDecoder
                .withJwkSetUri(resolveJwkSetUri(issuer))
                .build();
        }
    };
}

private String resolveJwkSetUri(String issuer) {
    // 根据租户配置映射JWK端点
    return tenantConfigService.getJwkSetUri(issuer);
}

自定义权限转换器

@Bean
public JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtGrantedAuthoritiesConverter converter = new JwtGrantedAuthoritiesConverter() {
        @Override
        public Collection<GrantedAuthority> convert(Jwt jwt) {
            // 1. 从自定义声明获取权限
            List<String> permissions = jwt.getClaim("custom_perms");

            // 2. 注入租户上下文
            String tenantId = jwt.getClaim("tenant_id");
            TenantContext.setCurrentTenant(tenantId);

            // 3. 转换权限格式
            return permissions.stream()
                .map(p -> new SimpleGrantedAuthority("TENANT_" + tenantId + "_" + p))
                .collect(Collectors.toList());
        }
    };

    JwtAuthenticationConverter jwtConverter = new JwtAuthenticationConverter();
    jwtConverter.setJwtGrantedAuthoritiesConverter(converter);
    return jwtConverter;
}

方法级安全控制

@RestController
public class TenantResourceController {

    @GetMapping("/{tenantId}/data")
    @PreAuthorize(
        "#tenantId == T(com.example.TenantContext).getCurrentTenant() " +
        "and hasAuthority('TENANT_' + #tenantId + '_DATA_READ')"
    )
    public ResponseEntity<String> getData(@PathVariable String tenantId) {
        // 业务逻辑
    }
}

3. 异常处理最佳实践

@Component
public class CustomOAuth2ExceptionHandler implements AuthenticationEntryPoint {

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response,
                         AuthenticationException authException) throws IOException {

        OAuth2Error error = switch (authException) {
            case JwtExpiredException e -> new OAuth2Error(
                "invalid_token", "Token expired", null);
            case JwtValidationException e -> new OAuth2Error(
                "invalid_token", "Validation failed", null);
            default -> new OAuth2Error(
                "unauthorized", authException.getMessage(), null);
        };

        response.setContentType(MediaType.APPLICATION_JSON_VALUE);
        response.setStatus(HttpStatus.UNAUTHORIZED.value());

        new ObjectMapper().writeValue(response.getOutputStream(), 
            Map.of("error", error.getErrorCode(), 
                   "error_description", error.getDescription()));
    }
}

4. 常见错误与解决方案

5. 扩展知识

• 动态权限加载：结合@PostAuthorize实现基于返回值的权限验证
• 租户隔离：通过Hibernate过滤器实现数据库级多租户
• 令牌增强：使用OpaqueTokenIntrospector验证不透明令牌
• 性能优化：缓存JWK公钥避免每次请求远程获取