如何设计一个基于Spring Cloud的微服务鉴权中心？

题目

如何设计一个基于Spring Cloud的微服务鉴权中心？

信息

• 类型：问答
• 难度：⭐⭐

考点

Spring Cloud Gateway, OAuth2, JWT, 微服务安全

快速回答

实现微服务鉴权中心的核心步骤：

• 使用Spring Cloud Gateway作为API网关，统一拦截请求
• 通过OAuth2授权服务器（如Keycloak或Spring Authorization Server）颁发JWT令牌
• 网关使用JWT验证过滤器校验令牌有效性及权限
• 微服务通过Spring Security资源服务器配置验证JWT
• 采用RBAC权限模型控制接口访问

一、核心架构原理

典型鉴权流程：

1. 客户端通过OAuth2协议获取JWT令牌
2. 请求经过网关时，GlobalFilter校验JWT签名和有效期
3. 网关将解密后的用户信息（如角色）通过请求头转发给微服务
4. 微服务基于Spring Security的@PreAuthorize注解验证权限

二、关键代码实现

1. 网关JWT校验过滤器（简化版）

@Bean
public GlobalFilter customFilter() {
    return (exchange, chain) -> {
        ServerHttpRequest request = exchange.getRequest();
        String token = request.getHeaders().getFirst("Authorization");

        // 验证JWT有效性（实际需使用JWT库解析）
        if (!validateToken(token)) {
            exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
            return exchange.getResponse().setComplete();
        }

        // 添加用户信息到请求头
        ServerHttpRequest newRequest = request.mutate()
            .header("X-User-Roles", extractRoles(token))
            .build();

        return chain.filter(exchange.mutate().request(newRequest).build());
    };
}

2. 微服务资源服务器配置

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeRequests(auth -> auth
                .antMatchers("/public/**").permitAll()
                .antMatchers("/admin/**").hasRole("ADMIN") // 基于角色的访问控制
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt);
        return http.build();
    }
}

三、最佳实践

• 密钥管理：使用HS512对称加密或RS256非对称加密，私钥仅授权服务器持有
• 令牌时效：Access Token有效期建议15-30分钟，Refresh Token用于续期
• 权限控制粒度：网关做基础校验（如登录态），微服务做细粒度RBAC控制
• 黑名单机制：JWT注销时通过Redis短时缓存失效令牌

四、常见错误

• 安全漏洞：未校验JWT签名导致伪造攻击
• 性能问题：每次请求都远程调用授权服务器验证令牌
• 设计缺陷：在网关或微服务重复实现鉴权逻辑
• 配置错误：未正确设置@PreAuthorize导致权限绕过

五、扩展知识

• OAuth2四种模式：密码模式适合内部服务，客户端凭证模式用于服务间调用
• JWT结构：Header（算法）、Payload（用户信息）、Signature（签名）
• 替代方案：Spring Cloud Security可与Keycloak、Okta等第三方方案集成
• 进阶优化：分布式会话管理、OIDC协议支持、审计日志集成