如何通过Spring Security OAuth2和JWT实现微服务之间的安全调用？ 资源服务器如何验证访问令牌的合法性？

Question

如何通过Spring Security OAuth2和JWT实现微服务之间的安全调用？ 资源服务器如何验证访问令牌的合法性？

Answer 1

下午好🌅🌅🌅
本答案参考通义千问

要通过 Spring Security OAuth2 和 JWT（JSON Web Token） 实现微服务之间的安全调用，需要构建一个 授权服务器（Authorization Server） 和 资源服务器（Resource Server）。其中，授权服务器负责颁发访问令牌（Access Token），而资源服务器则负责验证这些令牌的合法性，并根据其权限决定是否允许访问受保护的资源。

---

一、如何通过 Spring Security OAuth2 和 JWT 实现微服务之间的安全调用？

1. 架构设计

• 授权服务器（Authorization Server）：负责生成和发放 JWT 访问令牌。
• 资源服务器（Resource Server）：接收来自客户端的请求，验证 JWT 的合法性，决定是否允许访问资源。
• 客户端（Client）：可能是另一个微服务或前端应用，向授权服务器获取令牌，然后使用该令牌访问资源服务器。

2. 关键技术点

• 使用 JWT 作为访问令牌，避免了传统的基于 session 的认证方式。
• 利用 Spring Security OAuth2 框架实现授权流程和令牌管理。
• 资源服务器通过 JWT 解码器 验证令牌的有效性。

---

二、资源服务器如何验证访问令牌的合法性？

资源服务器验证 JWT 令牌的合法性主要包括以下几个步骤：

✅ 1. 验证签名

JWT 的签名是确保令牌未被篡改的关键。资源服务器需要使用与授权服务器相同的 密钥（Secret Key） 来验证签名。

✅ 2. 验证有效期

检查 exp（过期时间）字段，确保当前时间在 nbf（生效时间）和 exp（过期时间）之间。

✅ 3. 验证 Issuer (iss)

确认 JWT 是由可信的授权服务器签发的。

✅ 4. 验证 Audience (aud)

确保 JWT 是针对当前资源服务器的，防止令牌被其他服务误用。

✅ 5. 验证 Claims（声明）

检查 JWT 中包含的用户信息、角色等是否符合当前服务的安全策略。

---

三、具体实现方案（代码示例）

1. 授权服务器配置（生成 JWT）

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("client-id")
                .secret("client-secret")
                .scopes("read", "write")
                .authorizedGrantTypes("password", "refresh_token")
                .accessTokenValiditySeconds(3600)
                .refreshTokenValiditySeconds(86400);
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints
            .authenticationManager(authenticationManager)
            .tokenStore(tokenStore())
            .tokenEnhancer(tokenEnhancer());
    }

    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }

    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey("your-secret-key");
        return converter;
    }

    @Bean
    public TokenEnhancer tokenEnhancer() {
        return new TokenEnhancer() {
            @Override
            public OAuth2AccessToken enhance(OAuth2AccessToken accessToken, OAuth2Authentication authentication) {
                Map<String, Object> additionalInfo = new HashMap<>();
                additionalInfo.put("user_name", authentication.getName());
                ((DefaultOAuth2AccessToken) accessToken).setAdditionalInformation(additionalInfo);
                return accessToken;
            }
        };
    }
}

2. 资源服务器配置（验证 JWT）

@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/api/**").authenticated()
            .and()
            .csrf().disable();
    }

    @Bean
    public ResourceServerTokenServices resourceServerTokenServices() {
        return new JwtTokenStore(accessTokenConverter());
    }

    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey("your-secret-key");
        return converter;
    }
}

3. 客户端请求示例（使用 JWT）

GET /api/data HTTP/1.1
Host: your-resource-server.com
Authorization: Bearer <JWT_TOKEN>

---

四、关键点总结

📌 核心步骤如下：

1. 授权服务器生成 JWT 令牌

   • 使用 JwtAccessTokenConverter 签名并生成 JWT。
   • 令牌中包含用户信息、权限等声明。

2. 客户端获取并携带 JWT 令牌

   • 向授权服务器发起登录请求，获取 JWT。
   • 在后续请求中将 JWT 放在 Authorization 头中。

3. 资源服务器验证 JWT 令牌

   • 使用 JwtTokenStore 和 JwtAccessTokenConverter 解析并验证 JWT。
   • 检查签名、有效期、Issuer、Audience 等。

4. 基于 JWT 的权限控制

   • 从 JWT 中提取用户信息和角色，进行细粒度的访问控制。

---

五、常见问题与解决方案

| 问题 | 解决方案 | |------|----------| | JWT 无法验证 | 确保授权服务器和资源服务器使用相同的 signingKey | | 令牌过期 | 设置合理的 accessTokenValiditySeconds | | 令牌被篡改 | 严格校验 JWT 的签名 | | 令牌被重复使用 | 使用 refresh_token 机制提升安全性 |

---

六、推荐工具与库

• Spring Security OAuth2：官方支持的 OAuth2 实现。
• JWT Library（如 JJWT）：用于手动处理 JWT 令牌（可选）。
• Spring Security JWT：提供更简单的 JWT 集成方式（如 spring-security-jwt）。

---

七、优化建议

• 使用 HTTPS：确保所有通信都通过加密通道传输。
• 定期更换密钥：增强安全性。
• 引入刷新令牌机制：避免频繁重新登录。
• 集中式 Token 存储（如 Redis）：用于黑名单管理或令牌失效处理。

---

如有更多关于 Spring Security OAuth2 + JWT 的具体场景或问题，请随时告诉我！