Spring-如何在没有用户的情况下通过Faign调用安全服务

Question

我有一个Spring云网关和许多或多或少相互依赖的服务。Angular客户端通过网关与服务进行通信。网关和服务（资源服务器）由OAuth2保护，令牌由外部身份验证服务器提供。在我们使用的服务之间拨打电话。我们使用RequestInterceptor for Faign在服务之间转发用户令牌。但是：有些服务在调用endpoint时使用AMQP创建事件。在再次监听事件的服务中，调用了其他服务。由于传入消息没有附加安全上下文，因此这些调用会在401错误上运行。

有没有任何方法可以将安全上下文附加到AMQP消息，或者让Faign通过client_credentials-grant获得令牌？

• Spring版：2.3.5

Answer 1

正如在许多其他来源中所述，OAuth2FignRequestInterceptor是该问题的可能解决方案。我害怕使用它，因为它被标记为已弃用。我刚刚看到评论说“将在下一个主要版本中转移到Spring Cloud Openfeign”。

由于这意味着我们的依赖关系发生了变化，因此使用以下解决方案应该没有问题：

@Configuration
public class FeignConfig {

    private ClientCredentialsResourceDetails clientCredentialsResource() {
        ClientCredentialsResourceDetails resource = new ClientCredentialsResourceDetails();

        resource.setAccessTokenUri(<TOKEN_ENDPOINT>);
        resource.setClientId(<CLIENT_ID>);
        resource.setClientSecret(<SECRET>);
        resource.setGrantType("client_credentials");
        resource.setAuthenticationScheme(AuthenticationScheme.header);

        return resource;
    }

    @Bean
    public RequestInterceptor oauth2FeignRequestInterceptor() {
        return new OAuth2FeignRequestInterceptor(new DefaultOAuth2ClientContext(), clientCredentialsResource());
    }
}

使用Spring Security 5和OAuth2依赖项，如果您只是在您的WebSecurity-配置中使用http.oauth2ResourceServer（）. jwt（）链，则不需要其他注释，正如我从这篇很棒的文章中学到的：https://blog.jdriven.com/2019/11/spring-cloud-gateway-with-openid-connect-and-token-relay/