sping cloud gateway集成spring security实现前后端分离模式下的后端微服务认证授权

引言

  由于目前网上大部分spring security的集成都是基于传统的spring servlet机制，而spring cloud gateway 采用webflux作为底层web技术支持，不支持servlet，笔者在集成的过程中走了很多弯路，所以特地写一篇spring cloud gateway和security的集成实践博客，如有错误，欢迎指正。

Spring Security

  spring security 为spring提供了一套web安全性的完整框架，主要包含用户认证和用户授权。在用户认证方面，Spring Security 支持主流的验证方式，包括HttpBasic、Http表单认证、Http摘要认证、OpenId(如Oauth)和LDAP。本文实现的功能是gateway网关集成security，前端利用form表单进行登陆认证后返回基于一个用户名和密码的加密串，后续前端调用其他接口需利用httpbasic携带加密串的方式进行认证和授权。

技术环境

• jdk 1.8
• spring-boot 2.1.4.RELEASE
• spring-cloud Greenwich.RELEASE

集成步骤

(1)创建spring boot工程，引入cloud gateway 和security 的jar包依赖，核心依赖包如图:

注意:cloud gateway 不能和spring-web混合使用，cloud gateway采用的webflux技术，不能再引入spring-web包。

(2)编写securtiy的核心认证授权配置
  如下，创建security的核心安全配置类SecurityConfig并自定义SecurityWebFilterChain，在webflux环境下要生效必须用注解@EnableWebFluxSecurity使其生效:

@EnableWebFluxSecurity
public class SecurityConfig {


    //security的鉴权排除的url列表
    private static final String[] excludedAuthPages = {
            "/auth/login",
            "/auth/logout",
            "/health",
            "/api/socket/**"
    };

    @Bean
    SecurityWebFilterChain webFluxSecurityFilterChain(ServerHttpSecurity http) throws Exception {
        http
                .authorizeExchange()
                .pathMatchers(excludedAuthPages).permitAll()  //无需进行权限过滤的请求路径
                .pathMatchers(HttpMethod.OPTIONS).permitAll() //option 请求默认放行
                .anyExchange().authenticated()
                .and()
                .httpBasic()
                .and()
                .formLogin() //启动页面表单登陆,spring security 内置了一个登陆页面/login
                .and().csrf().disable()//必须支持跨域
                .logout().disable();

        return http.build();
    }
}

  配置文件中添加以下security的用户名和密码，访问受权限保护的页面即会进入security的登陆认证页面，只有输入配置的用户名和密码后才能继续访问其他页面。

#security 配置
spring.security.user.name=admin
spring.security.user.password=123456

  配置后，启动spring boot 程序，输入需授权的url，则会弹出以下页面，用户名密码输入登陆成功后即可正常访问其他受保护页面

注:此功能为spri