在REST微服务上使用Zuul代理、Oauth2实现认证和授权

Question

我试图在Spring Boot的工作流程中实现上述架构。

• Web客户端通过Zuul Proxy向资源服务器（微服务endpoint）发出请求。
• Zuul Proxy重定向到oaust2服务器进行身份验证。
• 如果请求是否经过身份验证，Oau2将重定向到Zuul Proxy。
• 如果未通过身份验证，Zuul会使用未经身份验证的响应重定向Web客户端。
• 如果经过身份验证，Zull代理会重定向到请求的微服务endpoint。
• 微服务endpoint检查用户是否被授权（用户级访问）访问资源。
• 微服务也可以对其他微服务进行内部rest调用。
• 最后，请求的资源被发回客户端。

我想确保我遵循正确的工作流程。

我想知道，是否有任何解决方案实现了类似的保护微服务API的解决方案。

我在以下方面感到困惑：

如何将用户详细信息传递给微服务，
• 以便微服务可以执行自己的用户授权级别？
• 是否应将 OAuth2 访问令牌标头传递给每个微服务，以便微服务可以单独验证令牌？
• 每个微服务是否应使用机密凭据来验证访问令牌，以便无法沿请求链伪造令牌？

我知道这是一个有点冗长的问题，但我还没有找到一个合适的解决方案，以上架构。

Answer 1

我不确定您是否能够解决此问题，我可以看到这还没有回答，但是有一种方法可以将所有信息从JWT传递到所有下游微服务。编写自己的 ZuulAuthenticationFilter，然后创建以下方法

private void addClaimHeaders(RequestContext context, String token) {
    
    try {
        
        Map<String, Claim> claims = jwtTokenVerifier.getAllClaims(token);
        claims.forEach((key, claim) -> {
            
            context.addZuulRequestHeader("x-user-info-"+key, String.valueOf(claim.as(Object.class)));
        });
        
    }catch(Exception ex) {
        
        log.error("Error in setting zuul header : "+ex.getMessage(), ex);
    }
}

这样，您将在每个微服务的标头中从JWT获取信息，以“x-user-info-”开头的标头将包含您的JWT详细信息

Answer 2

我一直在努力解决基于spring云解决方案的微服务架构的安全设计问题。我只发现这篇文章对它有所启发：https://developer.okta.com/blog/2018/02/13/secure-spring-microservices-with-oauth

但它与Okta sso服务提供商有关，而不是其他诸如密钥斗篷之类的开放服务器的通用解决方案。

我还看到了一些关于如何使用 oauth2 服务器保护网关和微服务的解决方案，如下所示：https://github.com/jgrandja/oauth2login-gateway

但是它没有考虑到web客户端。

Answer 3

不幸的是，我没有完整的答案，只有一些部分：

一旦JWT令牌可用于zuul代理，则每个微服务都可以通过配置其资源服务器来授权请求，例如。

 @Override
  public void configure(HttpSecurity http) throws Exception {
    http
        .authorizeRequests().anyRequest().access("#oauth2.hasScope('microserviceA.read')").and()
        .csrf().disable()
        .httpBasic().disable();
  }

范围可以由oauth微服务通过数据库进行管理——基于客户端凭证，它将获取范围信息并编码到JWT令牌中。

我目前不知道的是 - 如何使 zuul 代理使用“Web 客户端”凭据由 oauth 授权自己 - 我不想对 zuul 代理凭据进行硬编码，因为这样就不会使用 Web 客户端信条。

我刚刚发布了关于这个主题的类似问题：通过oauth服务器通过spring网关和zool授权请求

更新：我发现了一篇描述几乎这种配置的文章（没有尤里卡，但这并没有增加我的经验中的复杂性）：https://www.baeldung.com/spring-security-zuul-oauth-jwt，有一个带有源代码的github项目。不幸的是，源代码没有经过润色，因为作者正在将其用于商业课程。但我已经成功地从他的示例工作集中进行了构建。

摘要：在描述的体系结构中，每个资源服务器（微服务 A、B 等）都会接收由 zuul 代理/网关从请求客户端转发的 JWT 令牌。令牌在请求标头中转发。如果未提供有效的令牌，则网关会将请求重定向到授权页面。此外，每个资源服务器都可以使用 oauth 服务检查令牌，如果需要，可以按照我上面写的那样进行范围检查。