具有Spring启动启动Web的Spring Cloud网关

Question

我正在使用Spring Cloud网关为Spring Boot微服务创建网关。网关还负责使用Spring Security进行JWT授权。

public class JwtAuthorizationFilter extends BasicAuthenticationFilter {

    ...

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain)
            throws IOException, ServletException {

        String header = request.getHeader(JwtProperties.HEADER_STRING);

        if (header == null || !header.startsWith(JwtProperties.TOKEN_PREFIX)) {
            chain.doFilter(request, response);
            return;
        }

        Authentication authentication = getUsernamePasswordAuthentication(request);
        SecurityContextHolder.getContext().setAuthentication(authentication);

        chain.doFilter(request, response);
    }

    private Authentication getUsernamePasswordAuthentication(HttpServletRequest request) {
        String token = request.getHeader(JwtProperties.HEADER_STRING).replace(JwtProperties.TOKEN_PREFIX, "");

        DecodedJWT decodedJWT = JWT.require(Algorithm.HMAC512(JwtProperties.SECRET.getBytes())).build().verify(token);
        String username = decodedJWT.getSubject();

        if (username != null) {
            UserPrincipal principal = (UserPrincipal) userPrincipalService.loadUserByUsername(username);
            Authentication auth = new UsernamePasswordAuthenticationToken(username, null, principal.getAuthorities());
            return auth;
        }
        return null;
    }

}

此筛选器在配置方法中注册，如下所示：

@Configuration
@EnableWebSecurity
public class ApplicationSecurityConfig extends WebSecurityConfigurerAdapter {
    
    ...
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .cors()
            .and()
            .csrf().disable()
            .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .addFilter(new JwtAuthorizationFilter(authenticationManager(), userPrincipalService))
            .authorizeRequests()
            .antMatchers(HttpMethod.POST, "/login").permitAll()
            ...
            .anyRequest().authenticated();
        
    }
...
}

如您所见，Spring Security性使用HttpServletRequest、HttpServletResponse和FilterChain接口，这些接口属于Spring启动程序web。但这是主要的问题，因为它与SpringCloudGateway不兼容。

Spring MVC found on classpath, which is incompatible with Spring Cloud Gateway at this time. Please remove spring-boot-starter-web dependency.

在网关上实现jwt授权过滤器是否有任何方法可以避免此错误或任何不同的解决方案？谢谢

Answer 1

在Spring云网关的文档中，明确说明了该产品运行在Netty之上，需要网络流量，因此它与Spring MVC不兼容。

您使用的过滤器（JwtAuthorizationFilter）属于非反应性世界，因此您可能应该使用spring security for web flux构建块重写它。

免责声明，我不是Spring WebFuns/Spring Security专家，但是请考虑检查这个应用程序——它显示了如何用JavaSecurity的反作用版本定义JWT安全应用程序。

因此，归根结底，你应该选择是想要一个反应性应用程序还是一个传统的应用程序，并使用相关的技术，但你不能真正混合它们。