SpringCloudGatewayYML路由-有没有检查权限的方法？

Question

我有一些微服务和使用Spring Cloud的网关。我正试图在网关中设置路由。理想情况下，我想在YML文件中设置路由，或者使用RouteLocator bean。

但目前，在我的网关中，每个路由都有RESTendpoint，这只是使用WebClient向前发送请求。

（在此之前，我有一个ReactiveAuthenticationManager过滤器，用于验证JWT令牌。它返回一个UsernamePasswordAuthenticationToken，其中包括它从令牌获得的一些用户权限）。

下面是一个html" target="_blank">示例，其中我设置了一个到称为跟踪服务的微服务的路由：

控制器：

@RestController
@RequestMapping("/tracking-service/tracking")
public class TrackingController {

  @Autowired
  private TrackingService trackingService;

  @GetMapping
  public Flux getAllTracking() {
    return trackingService.getAllTracking();
  }

}

服务：

@Service
public class TrackingService {

  private WebClient webClient;

  @PreAuthorize("hasAuthority('MANAGER')")
  public Flux getAllTracking() {
    //Make HTTP call to the tracking service
  }

}

我这样做的原因是@PreAuthorize注释。如果客户端的JWT令牌不包括“MANAGER”令牌，则将返回403禁止状态。并非所有endpoint都需要管理者权限，有些endpoint需要其他权限。

我的问题-在使用YML进行路由时是否可以这样做？我希望看到像这样的东西，但我不确定这是否可能？我已经阅读了Spring文档并查看了所有可用的过滤器，但是我看不到任何可以完成这项工作的东西。

spring:
  cloud:
    gateway:
      routes:
        - id: tracking
          uri: http://tracking-service
          predicates:
            - Path=/tracking-service/**
          filters:
            - StripPrefix=1
            - PreAuthorize=hasAuthority('MANAGER')

谢谢。

Answer 1

API网关和授权是两个独立的关注点。理想情况下，网关应用程序中不应混合使用授权。为了获得许可，您可以直接将其映射到这样的服务。

@RestController
public class ResourceREST {

    @RequestMapping(value = "/resource/", method = RequestMethod.GET)
     @PreAuthorize("@customPermissionEvaluator.hasPrivilege(authentication,'somepermission')")
    public Mono<ResponseEntity<?>> user() {
        return Mono.just(ResponseEntity.ok(new Message("Access allowed")));
    }
}

并定义自定义权限计算器

@Service
public class CustomPermissionEvaluator {

    public boolean hasPrivilege(Authentication auth, String permission) {
        String requiredPermissionCheck = permission.toLowerCase();
        for (GrantedAuthority grantedAuth : auth.getAuthorities()) {
            if (grantedAuth.getAuthority().contains(requiredPermissionCheck)) {
                return true;
            }
        }
        return false;
    }
}

因此，网关在路由中不提供任何理想的授权。