Spring Cloud Security案例

wen java案例 2026-08-10 3

从零搭建Spring Cloud Security微服务认证授权实战：JWT+OAuth2全流程解析

导读

核心痛点：微服务架构下，传统Session认证为何失效？统一认证与授权如何设计？

技术选型：为什么Spring Cloud Security + OAuth2 + JWT是当前主流方案？

实战案例：手写一个包含网关、认证服务、资源服务的完整代码示例。

高频问答：解决“token过期怎么办”、“如何实现动态权限”等面试与落地难题。

SEO关键词：Spring Cloud Security案例、微服务认证授权、OAuth2 JWT实践、网关Token校验。

微服务安全挑战与Spring Cloud Security定位

在单体应用中，Session机制基于Servlet容器，天然共享，但微服务拆分了业务模块，若每个服务独立保存Session，会导致登录状态不一致，服务间调用需要权限校验，若在每个服务内重复写认证逻辑,则代码冗余且难以维护。

Spring Cloud Security 并非一个独立组件，而是基于Spring Security + OAuth2 + JWT的整套解决方案,它的核心思路是：

统一认证：认证服务(Authorization Server)负责登录和颁发Token。
统一鉴权：网关(Gateway)或资源服务(Resource Server)负责解析Token,校验权限。
无状态化：使用JWT（JSON Web Token），服务端不存Session,天然适合分布式。

架构设计与核心组件交互流程

以一个典型电商系统为例,包含：

Gateway：统一入口,负责Token转发与白名单过滤。
Auth-Service：认证服务，提供/login接口,签发JWT。
Order-Service / User-Service：资源服务,受保护API。

请求流程图解：

用户 -> 网关（校验Token是否有效） -> 转发带Token的请求至资源服务
                                    -> 资源服务解析JWT并校验权限 -> 返回数据

关键点：网关只负责“是否登录”，资源服务负责“是否授权”，两者通过JWT中的authorities声明协同。

Spring Cloud Security实战案例（代码+配置）

1 认证服务（Auth-Service）实现

依赖引入（关键部分）：

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-oauth2</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-jwt</artifactId>
</dependency>

配置TokenStore（JWT方式）：

@Bean
public JwtAccessTokenConverter accessTokenConverter() {
    JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
    converter.setSigningKey("test-secret-key"); // 对称加密签名，生产使用RSA
    return converter;
}
@Bean
public TokenStore tokenStore() {
    return new JwtTokenStore(accessTokenConverter());
}

核心登录端点：

@PostMapping("/oauth/token")
public ResponseEntity<OAuth2AccessToken> login(@RequestBody UserLoginDTO dto) {
    // 1. 校验用户密码（此处省略UserDetailsService实现）
    // 2. 使用TokenGranter生成token
}

2 资源服务（Order-Service）配置

关键配置类：

@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/order/**").hasAuthority("ROLE_USER")
            .anyRequest().authenticated();
    }
}

注意：需要引入spring-security-jwt，并配置相同的JwtAccessTokenConverter（签名key一致）。

3 网关过滤（Gateway）Token校验逻辑

在Spring Cloud Gateway中，使用GlobalFilter实现统一校验：

@Component
public class AuthFilter implements GlobalFilter, Ordered {
    @Override
    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
        String token = exchange.getRequest().getHeaders().getFirst("Authorization");
        // 白名单路径直接放行（如 /oauth/token, /login）
        // 其余请求：解析JWT，若无效则返回401
    }
}

性能与安全优化要点

JWT过期策略：设置access_token有效期30分钟，refresh_token有效期7天，客户端需在过期前刷新,避免频繁登录。
RSA非对称加密：生产环境使用公钥验证、私钥签名,防止密钥泄露。
权限动态化：不要硬编码权限，将用户权限存入数据库，JWT中只放user_id，由资源服务查库或Redis获取权限列表（避免Token过大）。
网关熔断：若认证服务宕机，网关应快速失败,而不是无限等待。

高频问答（面试/落地必看）

Q1：JWT被窃取了怎么办？

A：启用HTTPS+短期Token+RefreshToken轮换机制，若检测到异常IP，强制刷新或加入黑名单（利用Redis存储已注销Token的jti）。

Q2：如何实现用户权限变更后立即生效？

A：方案一：JWT中不放权限，改为资源服务查询Redis最新权限，方案二：使用短Token（如5分钟）,变更后强制重新登录。

Q3：网关和资源服务都校验Token，是否重复？

A：网关只验签（快速过滤非法请求），资源服务负责细粒度鉴权，两者职责不同,缺一不可。

Q4：Spring Cloud Security与Spring Security OAuth2已停止维护，如何迭代？

A：官方已迁移至Spring Authorization Server（独立项目），但核心JWT和OAuth2协议不变，本文案例基于旧版,理解原理后可平滑迁移。

总结与最佳实践建议

可落地的架构建议：

认证服务独立部署,切勿与业务服务混用。
网关层做限流，防止暴力破解/oauth/token接口。
监控Token签发量与失败率,辅助安全审计。

Spring Cloud Security案例的核心不在于“多复杂的代码”，而在于理解令牌生命周期与服务间信任边界，以上案例代码虽精简，但已覆盖生产环境80%的配置模式，建议读者在本地运行完整demo，调整signing-key和权限规则，观察JWT解码后的payload结构,方能深刻体会。