仅使用承载保护 Spring Cloud Gateway

Question

我目前想使用 Spring Cloud Gateway 来保护我的微服务架构。前端向 Keycloak 服务器进行身份验证，然后在每个请求中发送令牌。 现在的情况是只有网关应该暴露给外部，而各个服务将无法从外部访问。

如何在 keycloak 服务器上验证不记名令牌？

我已经在互联网上搜索了一段时间，但还没有找到任何已验证令牌的地方。在任何地方都通过网关完成身份验证，然后由各个服务验证令牌。但是，当我将网关声明为 OAuth2 资源服务器时，整个事情就不起作用了。

Answer 1

我设法让它工作。

我的安全配置如下：

@Configuration
@EnableWebFluxSecurity
public class SecurityConfig {
    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        http.authorizeExchange(exchanges -> exchanges.anyExchange().authenticated())
                .oauth2ResourceServer().jwt();
        http.csrf().disable();
        return http.build();
    }

}

此外，我添加了一个 CorsFilter：

@Configuration
public class PreFlightCorsConfiguration {

    @Bean
    public CorsWebFilter corsFilter() {
        return new CorsWebFilter(corsConfigurationSource());
    }

    @Bean
    CorsConfigurationSource corsConfigurationSource() {
        final UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration().applyPermitDefaultValues();
        config.addAllowedMethod( HttpMethod.GET);
        config.addAllowedMethod( HttpMethod.PUT);
        config.addAllowedMethod( HttpMethod.POST);
        config.addAllowedMethod( HttpMethod.OPTIONS);
        config.addAllowedMethod(HttpMethod.DELETE);
        source.registerCorsConfiguration("/**", config);
        return source;
    }
}

而我使用的安全依赖是：

  <dependency>
     <groupId>org.springframework.boot</groupId>
     <artifactId>spring-boot-starter-oauth2-client</artifactId>
  </dependency>
  <dependency>
     <groupId>org.springframework.boot</groupId>
     <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
  </dependency>
  <dependency>
     <groupId>org.springframework.cloud</groupId>
     <artifactId>spring-cloud-starter-security</artifactId>
     <version>2.2.5.RELEASE</version>
  </dependency>