module：auth
1.添加依赖：spring-cloud-starter-security与spring-cloud-starter-oauth2
2.配置WebSecurityConfig：注入AuthenticationManager覆写configure
3.配置tokenConfig
4.授权服务器配置：AuthorizationServer extends AuthorizationServerConfigurerAdapter配置客户端详细任务，令牌端点配置
5.实现UserDetailsService，覆写loadUserByUsername（最熟悉的一集）
tips：这里return 的UserDetails对象不用自己创建，springsecurity提供了一个User类实现了UserDetails，通过建造者模式可以直接生成username，password，authorities等信息。这里如果需要多参数分发给其他module使用，建议的做法是将数据库中查出来的对象通过json转成字符串存入username，后续可以直接将username反写成具体的class
module：gateway
首先明确网关的作用：路由转发、认证、白名单放行：针对当前网关的路由进行转发，如果是白名单则直接放行，如果是需要JWT校验则需要校验JWT合法性
security中提供了认证与授权，这里我们在网关进行了认证，也就是说授权模块是在各个微服务中进行的
gateway集成springsecurity：
1.添加依赖：spring-cloud-starter-security与spring-cloud-starter-oauth2
2.添加配置：过滤器；再添加tokenConfig、securityConfig
/**
*
* @description 网关认证过滤器：这段代码主要是作为过滤器去处理一个http请求，首先是检查请求路径是否在白名单中，请求是否携带token/有没有过期等安全相关检查
*/
@Component @Slf4j public class GatewayAuthFilter implements GlobalFilter, Ordered { //白名单 private static List<String> whitelist = null; static { //加载白名单 try ( InputStream resourceAsStream = GatewayAuthFilter.class.getResourceAsStream("/security-whitelist.properties"); ) { Properties properties = new Properties(); properties.load(resourceAsStream); Set<String> strings = properties.stringPropertyNames(); whitelist= new ArrayList<>(strings); } catch (Exception e) { log.error("加载/security-whitelist.properties出错:{}",e.getMessage()); e.printStackTrace(); } } @Autowired private TokenStore tokenStore; @Override public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) { String requestUrl = exchange.getRequest().getPath().value(); AntPathMatcher pathMatcher = new AntPathMatcher(); //白名单放行 for (String url : whitelist) { if (pathMatcher.match(url, requestUrl)) { return chain.filter(exchange); } } //检查token是否存在 String token = getToken(exchange); if (StringUtils.isBlank(token)) { return buildReturnMono("没有认证",exchange); } //判断是否是有效的token OAuth2AccessToken oAuth2AccessToken; try { oAuth2AccessToken = tokenStore.readAccessToken(token); boolean expired = oAuth2AccessToken.isExpired(); if (expired) { return buildReturnMono("认证令牌已过期",exchange); } return chain.filter(exchange); } catch (InvalidTokenException e) { log.info("认证令牌无效: {}", token); return buildReturnMono("认证令牌无效",exchange); } } /** * 获取token */ private String getToken(ServerWebExchange exchange) { String tokenStr = exchange.getRequest().getHeaders().getFirst("Authorization"); if (StringUtils.isBlank(tokenStr)) { return null; } String token = tokenStr.split(" ")[1]; if (StringUtils.isBlank(token)) { return null; } return token; } private Mono<Void> buildReturnMono(String error, ServerWebExchange exchange) { ServerHttpResponse response = exchange.getResponse(); String jsonString = JSON.toJSONString(new RestErrorResponse(error)); byte[] bits = jsonString.getBytes(StandardCharsets.UTF_8); DataBuffer buffer = response.bufferFactory().wrap(bits); response.setStatusCode(HttpStatus.UNAUTHORIZED); response.getHeaders().add("Content-Type", "application/json;charset=UTF-8"); return response.writeWith(Mono.just(buffer)); } @Override public int getOrder() { return 0; } }
// 假设已经从请求中获得了token String token = getToken(exchange); // 如果token存在且不为空 if (token != null && !token.isEmpty()) { // 创建一个新的ServerHttpRequest，并添加token到Authorization头 ServerHttpRequest mutatedRequest = exchange.getRequest().mutate() .header("Authorization", "Bearer " + token) .build(); // 使用ServerWebExchangeDecorator来包装原始的ServerWebExchange，并且使用修改后的请求 ServerWebExchange mutatedExchange = exchange.mutate() .request(mutatedRequest) .build(); return chain.filter(mutatedExchange); }
3.配置白名单security-whitelist.properties
/media/open/**=媒资管理公开访问接口
4.在其他微服务模块中放行所有路由，并且直接通过SecurityContextHolder.getContext().getAuthentication()获取对象（因为在网关中已经校验完了，这里只负责授权）
module：others
1.包装一个SecurityUtil。SecurityContextHolder.getContext().getAuthentication().getPrincipal();即可获得具体username，然后将username转为实体类即可使用
@Slf4j public class SecurityUtil { public static XcUser getUser() { try { Object principalObj = SecurityContextHolder.getContext().getAuthentication().getPrincipal(); if (principalObj instanceof String) { //取出用户身份信息 String principal = principalObj.toString(); //将json转成对象 XcUser user = JSON.parseObject(principal, XcUser.class); return user; } } catch (Exception e) { log.error("获取当前登录用户身份出错:{}", e.getMessage()); e.printStackTrace(); } return null; } @Data public static class XcUser implements Serializable { private static final long serialVersionUID = 1L; private String id; private String username; private String password; private String salt; private String name; private String nickname; private String wxUnionid; private String companyId; /** * 头像 */ private String userpic; private String utype; private LocalDateTime birthday; private String sex; private String email; private String cellphone; private String qq; /** * 用户状态 */ private String status; private LocalDateTime createTime; private LocalDateTime updateTime; } }
使用说明：上文使用了成员内部类，XcUser定义在外部类的成员位置，其不能创建独立对象，必须依靠外部类实例.new 内部类()来创建实例
SecurityUtil.XcUser user = SecurityUtil.getUser();
Q&A：
token在gateway中传递下去的？
（无oauth2集成）一般情况下我们需要修改ServerWebExchange里的ServerHttpRequest，但是ServerHttpRequest是不可变的。因此如果我们需要添加上token，就需要新建一个ServerWebExchange，重写ServerHttpRequest。
除此以外，因为我们还会将请求传递给下一个GatewayFilterChain，我们可以在这个请求传递的时候通过修改ServerWebExchange的MutableHttpRequest：
（有oauth2集成）springsecurity的过滤器链会自动处理从请求中提取token，并将其附加到上下文中，下游的过滤器会通过springsecurity的API获取他
为什么其他微服务模块能直接通过SecurityContextHolder.getContext().getAuthentication()获取对象？
在微服务中，每一个模块都有独属于自己的JVM，拥有独属于自己的线程，也就是说每个模块的SecurityContext是不一样的。当我们使用oauth2，用户通过上述gateway进行认证，并获取一个jwt将其放在request中。
当一个模块接收到一个包含oauth2令牌的http请求时，他会使用这个令牌来验证用户身份，并且基于令牌构建一个新的SecurityContext。也就是说SecurityContext的实现其实是局限于单个服务的单个线程的，跨服务的安全信息传递是由oauth2进行的
