解决Spring Cloud微服务中JWT认证的“Full authentication is required”问题

问题剖析：Spring Cloud微服务认证常见挑战

在基于spring cloud的微服务架构中，通常会采用jwt（json web token）进行用户认证和授权，并通过api gateway作为统一入口。然而，开发者在实现用户注册（signup）和登录（login）等无需认证即可访问的公共接口时，常会遇到“full authentication is required to access this resource”的错误。这通常发生在auth service内部直接请求这些接口，或通过api gateway转发请求时。同时，通过api gateway访问时，可能会出现“could not send request”的连接错误，这往往是上游服务（auth service）因认证问题拒绝请求，导致网关无法获取响应。

出现此问题的原因在于Spring Security的默认行为。在没有明确配置的情况下，Spring Security会默认保护所有端点，要求所有请求都进行认证。对于用户注册和登录这类用于获取认证凭证的接口，它们本身就应该在用户未认证状态下访问，因此需要特殊处理。

核心解决方案：Spring Security配置

解决此问题的关键在于正确配置Auth Service中的Spring Security，明确指定哪些路径可以无需认证即可访问。这通常通过在安全配置类中，使用HttpSecurity的authorizeRequests()和permitAll()方法来实现。

以下是修正后的Spring Security配置示例：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .csrf().disable() // 禁用CSRF，因为JWT是无状态的
            .authorizeRequests(auth -> {
                // 定义公共访问路径
                auth.antMatchers("/authenticate/signup", "/authenticate/login", "/authenticate/refreshtoken").permitAll();
                // 其他所有请求都需要认证
                auth.anyRequest().authenticated();
            })
            // 可以根据需要添加JWT过滤器等
            // .addFilterBefore(jwtRequestFilter, UsernamePasswordAuthenticationFilter.class)
            ;
    }
}

代码解析：

• http.csrf().disable(): 禁用CSRF（Cross-Site Request Forgery）保护。对于使用JWT的无状态API，通常不需要CSRF保护，因为JWT本身包含了认证信息，并且不会使用基于会话的CSRF令牌。
• authorizeRequests(auth -> { ... }): 这是配置请求授权规则的核心部分。
• auth.antMatchers("/authenticate/signup", "/authenticate/login", "/authenticate/refreshtoken").permitAll(): 这是解决问题的关键。它明确指定了/authenticate/signup（注册）、/authenticate/login（登录）和/authenticate/refreshtoken（刷新令牌）这几个路径可以被所有用户（包括未认证用户）访问。permitAll()方法表示允许所有请求访问这些路径，无需任何认证或授权。
• auth.anyRequest().authenticated(): 在放行了特定公共路径之后，此规则确保了其余所有未明确放行的请求都必须经过认证才能访问。这是微服务安全性的基本要求。

通过上述配置，Auth Service将允许对/authenticate/signup、/authenticate/login和/authenticate/refreshtoken的请求无需认证即可通过，从而解决了“Full authentication is required”的错误。API Gateway在转发这些请求时，也能成功收到来自Auth Service的响应，避免了“Could not send request”的问题。

注意事项与最佳实践

1. WebSecurityConfigurerAdapter的替代方案： Spring Security在5.7.0版本之后，官方推荐使用基于组件的方式配置安全，而不是继承WebSecurityConfigurerAdapter。虽然上述代码仍然有效，但为了遵循最新最佳实践，建议采用以下函数式配置方式：

   import org.springframework.context.annotation.Bean;
   import org.springframework.context.annotation.Configuration;
   import org.springframework.security.config.annotation.web.builders.HttpSecurity;
   import org.springframework.security.web.SecurityFilterChain;
   
   @Configuration
   public class WebSecurityConfig {
   
       @Bean
       public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
           http
               .csrf(csrf -> csrf.disable()) // 禁用CSRF
               .authorizeHttpRequests(auth -> auth
                   .requestMatchers("/authenticate/signup", "/authenticate/login", "/authenticate/refreshtoken").permitAll()
                   .anyRequest().authenticated()
               );
           // 可以根据需要添加JWT过滤器等
           // .addFilterBefore(jwtRequestFilter, UsernamePasswordAuthenticationFilter.class);
           return http.build();
       }
   }

   登录后复制

   这种方式更加灵活，且符合Spring Security的未来发展方向。更多详情可参考Spring官方博客：Spring Security without the WebSecurityConfigurerAdapter。

2. API Gateway与服务间协作： API Gateway作为请求的入口，其作用是路由和转发。当Auth Service正确配置了公共访问路径后，API Gateway就可以顺利将请求转发至这些端点。在实际生产环境中，API Gateway通常还会承担额外的安全职责，例如：

   • 限流： 防止恶意请求或DDoS攻击。
   • 日志记录： 记录所有进出系统的请求。
   • 初步认证/授权： 对于需要认证的请求，API Gateway可以进行初步的JWT验证，甚至直接处理一部分授权逻辑，减轻后端服务的负担。

总结

在Spring Cloud微服务架构中，正确配置Spring Security是确保系统安全和功能正常运行的关键。对于用户注册、登录等公共认证接口，务必使用permitAll()方法明确放行，以避免“Full authentication is required”的错误，并确保API Gateway能够顺畅地转发请求。同时，关注Spring Security的最新推荐配置方式，采用函数式配置，可以使代码更现代化、易于维护，从而构建健壮、高效的微服务系统。

以上就是解决Spring Cloud微服务中JWT认证的“Full authentication is required”问题的详细内容，更多请关注php中文网其它相关文章！