微服务 OJ 系统实战：基于 Spring Cloud Gateway 的 JWT 认证实现

3. 实现 TokenService

在 OJ-modules 中引入 oj-common-security，并编写 TokenService。这里的核心逻辑是：生成 UUID 作为 userKey，将 userId 和 userKey 存入 JWT，同时将 userKey 和用户身份存入 Redis 以便后续校验。

@Service
public class TokenService {
    @Autowired
    private RedisService redisService;

    /**
     * 创建令牌
     */
    public String createToken(Long userId, String secret, Integer identity) {
        String userKey = UUID.fastUUID().toString();
        Map<String, Object> claim = new HashMap<>();
        claim.put(JwtContains.LOGIN_USER_ID, userId);
        claim.put(JwtContains.LOGIN_USER_KEY, userKey);

        String token = JwtUtils.createToken(claim, secret);
        String key = CacheConstants.LOGIN_TOKEN_KEY + userKey;

        LoginUser loginUser = new LoginUser();
        loginUser.setIdentity(identity); // 实际项目中需通过枚举转换
        redisService.setCacheObject(key, loginUser, CacheConstants.EXPIRATION, TimeUnit.MINUTES);

        return token;
    }
}

核心逻辑说明：

1. UUID 生成：确保每个登录会话有唯一的 userKey。
2. Claim 构建：包含 userId 和 userKey，这是 JWT 的负载部分。
3. Redis 绑定：虽然 JWT 是无状态的，但为了支持登出或强制失效，我们将 userKey 映射到 Redis 中的用户身份信息。这样即使 JWT 未过期，如果 Redis 中找不到对应 key，也视为无效。

4. 网关身份认证 (AuthFilter)

这是整个流程中最关键的一环。由于使用的是 Spring Cloud Gateway，它基于 WebFlux，因此不能使用传统的 Servlet 异常处理机制，需要自定义全局过滤器 GlobalFilter。

首先配置白名单，允许某些接口（如登录、注册）跳过鉴权。这部分配置建议放在 Nacos 中，利用 @RefreshScope 实现热更新。

@Configuration
@RefreshScope
@ConfigurationProperties(prefix = "security.ignore")
public class IgnoreWhiteProperties {
    private List<String> whites = new ArrayList<>();
    
    public List<String> getWhites() { return whites; }
    public void setWhites(List<String> whites) { this.whites = whites; }
}

接下来是核心的鉴权过滤器。注意这里使用了 Mono<Void> 返回类型，这是 Reactor 响应式编程的特征。

@Slf4j
@Component
public class AuthFilter implements GlobalFilter, Ordered {
    @Autowired
    private IgnoreWhiteProperties ignoreWhite;
    
    @Value("${jwt.secret}")
    private String secret;
    
    @Autowired
    private RedisService redisService;

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
        ServerHttpRequest request = exchange.getRequest();
        String url = request.getURI().getPath();

        // 1. 白名单检查
        if (matches(url, ignoreWhite.getWhites())) {
            return chain.filter(exchange);
        }

        // 2. 获取 Token
        String token = getToken(request);
        if (StrUtil.isEmpty(token)) {
            return unauthorizedResponse(exchange, "令牌不能为空");
        }

        // 3. 解析 Token
        Claims claims;
        try {
            claims = JwtUtils.parseToken(token, secret);
            if (claims == null) {
                return unauthorizedResponse(exchange, "令牌已过期或验证不正确！");
            }
        } catch (Exception e) {
            return unauthorizedResponse(exchange, "令牌已过期或验证不正确！");
        }

        // 4. 校验 Redis 中的会话状态
        String userKey = JwtUtils.getUserKey(claims);
        boolean isLogin = redisService.hasKey(getTokenKey(userKey));
        if (!isLogin) {
            return unauthorizedResponse(exchange, "登录状态已过期");
        }

        // 5. 权限校验 (C 端/B 端隔离)
        String userid = JwtUtils.getUserId(claims);
        if (StrUtil.isEmpty(userid)) {
            return unauthorizedResponse(exchange, "令牌验证失败");
        }

        LoginUser user = redisService.getCacheObject(getTokenKey(userKey), LoginUser.class);
        if (url.contains(HttpConstants.SYSTEM_URL_PREFIX) && !UserIdentity.ADMIN.getCode().equals(user.getIdentity())) {
            return unauthorizedResponse(exchange, "令牌验证失败");
        }
        if (url.contains(HttpConstants.FRIEND_URL_PREFIX) && !UserIdentity.ORDINARY.getCode().equals(user.getIdentity())) {
            return unauthorizedResponse(exchange, "令牌验证失败");
        }

        return chain.filter(exchange);
    }

    // ... 辅助方法 matches, isMatch, getToken, unauthorizedResponse 等省略 ...

    @Override
    public int getOrder() {
        return -200; // 值越小越靠前执行
    }
}

为什么不在这里抛出异常？ 因为 @RestControllerAdvice 只对 Spring MVC (Servlet) 生效，而 Spring Cloud Gateway 属于 WebFlux 体系，必须手动构建响应对象返回给客户端。

5. 配置与测试

最后，记得在 RedisConfig 中添加 @AutoConfigureBefore(RedisAutoConfiguration.class)，确保我们的 RedisTemplate 优先注册。同时，在 Nacos 中配置好 jwt.secret 和白名单 URL 列表。

完成上述步骤后，重启服务进行测试。登录接口应能返回 Token，后续请求携带该 Token 即可通过网关拦截器的校验。