module：auth
1.添加依赖：spring-cloud-starter-security与spring-cloud-starter-oauth2
2.配置WebSecurityConfig：注入AuthenticationManager覆写configure
3.配置tokenConfig
4.授权服务器配置：AuthorizationServer extends AuthorizationServerConfigurerAdapter配置客户端详细任务，令牌端点配置
5.实现UserDetailsService，覆写loadUserByUsername（最熟悉的一集）
tips：这里return 的UserDetails对象不用自己创建，springsecurity提供了一个User类实现了UserDetails，通过建造者模式可以直接生成username，password，authorities等信息。这里如果需要多参数分发给其他module使用，建议的做法是将数据库中查出来的对象通过json转成字符串存入username，后续可以直接将username反写成具体的class
module：gateway
首先明确网关的作用：路由转发、认证、白名单放行：针对当前网关的路由进行转发，如果是白名单则直接放行，如果是需要JWT校验则需要校验JWT合法性
security中提供了认证与授权，这里我们在网关进行了认证，也就是说授权模块是在各个微服务中进行的
gateway集成springsecurity：
1.添加依赖：spring-cloud-starter-security与spring-cloud-starter-oauth2
2.添加配置：过滤器；再添加tokenConfig、securityConfig
/**
*
* @description 网关认证过滤器：这段代码主要是作为过滤器去处理一个http请求，首先是检查请求路径是否在白名单中，请求是否携带token/有没有过期等安全相关检查
*/
@Component @Slf4j public class GatewayAuthFilter implements GlobalFilter, Ordered { //白名单 private static List<String> whitelist = null; static { //加载白名单 try ( InputStream resourceAsStream = GatewayAuthFilter.class.getResourceAsStream("/security-whitelist.properties"); ) { Properties properties = new Properties(); properties.load(resourceAsStream); Set<String> strings = properties.stringPropertyNames(); whitelist= new ArrayList<>(strings); } catch (Exception e) { log.error("加载/security-whitelist.properties出错:{}",e.getMessage()); e.printStackTrace(); } } @Autowired private TokenStore tokenStore; @Override public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) { String requestUrl = exchange.getRequest().getPath().value(); AntPathMatcher pathMatcher = new AntPathMatcher(); //白名单放行 for (String url : whitelist) { if (pathMatcher.match(url, requestUrl)) { return chain.filter(exchange); } } //检查token是否存在 String token = getToken(exchange); if (StringUtils.isBlank(token)) { return buildReturnMono("没有认证",exchange); } //判断是否是有效的token OAuth2AccessToken oAuth2AccessToken; try { oAuth2AccessToken = tokenStore.readAccessToken(token); boolean expired = oAuth2AccessToken.isExpired(); if (expired) { return buildReturnMono("认证令牌已过期",exchange); } return chain.filter(exchange); } catch (InvalidTokenException e) { log.info("认证令牌无效: {}", token); return buildReturnMono("认证令牌无效",exchange); } } /** * 获取token */ private String getToken(ServerWebExchange exchange) { String tokenStr = exchange.getRequest().getHeaders().getFirst("Authorization"); if (StringUtils.isBlank(tokenStr)) { return null; } String token = tokenStr.split(" ")[1]; if (StringUtils.isBlank(token)) { return null; } return token; } private Mono<Void> buildReturnMono(String error, ServerWebExchange exchange) { ServerHttpResponse response = exchange.getResponse(); String jsonString = JSON.toJSONString(new RestErrorResponse(error)); byte[] bits = jsonString.getBytes(StandardCharsets.UTF_8); DataBuffer buffer = response.bufferFactory().wrap(bits); response.setStatusCode(HttpStatus.UNAUTHORIZED); response.getHeaders().add("Content-Type", "application/json;charset=UTF-8"); return response.writeWith(Mono.just(buffer)); } @Override public int getOrder() { return 0; } }
// 假设已经从请求中获得了token
String token = getToken(exchange);
// 如果token存在且不为空
if (token != null && !token.isEmpty()) {
// 创建一个新的ServerHttpRequest，并添加token到Authorization头
ServerHttpRequest mutatedRequest = exchange.getRequest().mutate()
.header("Authorization", "Bearer " + token)
.build();
// 使用ServerWebExchangeDecorator来包装原始的ServerWebExchange，并且使用修改后的请求
ServerWebExchange mutatedExchange = exchange.mutate()
.request(mutatedRequest)
.build();
return chain.filter(mutatedExchange);
}
3.配置白名单security-whitelist.properties
/media/open/**=媒资管理公开访问接口
4.在其他微服务模块中放行所有路由，并且直接通过SecurityContextHolder.getContext().getAuthentication()获取对象（因为在网关中已经校验完了，这里只负责授权）
module：others
1.包装一个SecurityUtil。SecurityContextHolder.getContext().getAuthentication().getPrincipal();即可获得具体username，然后将username转为实体类即可使用
@Slf4j
public class SecurityUtil {
public static XcUser getUser() {
try {
Object principalObj = SecurityContextHolder.getContext().getAuthentication().getPrincipal();
if (principalObj instanceof String) {
//取出用户身份信息
String principal = principalObj.toString();
//将json转成对象
XcUser user = JSON.parseObject(principal, XcUser.class);
return user;
}
} catch (Exception e) {
log.error("获取当前登录用户身份出错:{}", e.getMessage());
e.printStackTrace();
}
return null;
}
@Data
public static class XcUser implements Serializable {
private static final long serialVersionUID = 1L;
private String id;
private String username;
private String password;
private String salt;
private String name;
private String nickname;
private String wxUnionid;
private String companyId;
/**
* 头像
*/
private String userpic;
private String utype;
private LocalDateTime birthday;
private String sex;
private String email;
private String cellphone;
private String qq;
/**
* 用户状态
*/
private String status;
private LocalDateTime createTime;
private LocalDateTime updateTime;
}
}
使用说明：上文使用了成员内部类，XcUser定义在外部类的成员位置，其不能创建独立对象，必须依靠外部类实例.new 内部类()来创建实例
SecurityUtil.XcUser user = SecurityUtil.getUser();
Q&A：
token在gateway中传递下去的？
（无oauth2集成）一般情况下我们需要修改ServerWebExchange里的ServerHttpRequest，但是ServerHttpRequest是不可变的。因此如果我们需要添加上token，就需要新建一个ServerWebExchange，重写ServerHttpRequest。
除此以外，因为我们还会将请求传递给下一个GatewayFilterChain，我们可以在这个请求传递的时候通过修改ServerWebExchange的MutableHttpRequest：
（有oauth2集成）springsecurity的过滤器链会自动处理从请求中提取token，并将其附加到上下文中，下游的过滤器会通过springsecurity的API获取他
为什么其他微服务模块能直接通过SecurityContextHolder.getContext().getAuthentication()获取对象？
在微服务中，每一个模块都有独属于自己的JVM，拥有独属于自己的线程，也就是说每个模块的SecurityContext是不一样的。当我们使用oauth2，用户通过上述gateway进行认证，并获取一个jwt将其放在request中。
当一个模块接收到一个包含oauth2令牌的http请求时，他会使用这个令牌来验证用户身份，并且基于令牌构建一个新的SecurityContext。也就是说SecurityContext的实现其实是局限于单个服务的单个线程的，跨服务的安全信息传递是由oauth2进行的
标签：集成,return,String,exchange,private,认证,token,ServerWebExchange,springsecurity From： https://www.cnblogs.com/kun1790051360/p/18324363