Spring gateway配置Spring Security实现统一权限验证与授权

在使用Spring Cloud 进行微服务，分布式开发时，网关是请求的第一入口，所以一般把客户端请求的权限验证统一放在网关进行认证与鉴权。因为Spring Cloud Gateway使用是基于WebFlux与Netty开发的，所以与传统的Servlet方式不同。而且网关一般不会直接请求数据库，不提供用户管理服务，所以如果想在网关处进行登陆验证与授权就需要做一些额外的开发了。

需求设求

众所周知，一切架构都必须按需求来设计，万能构架基本上是不存在的，即使是像Spring Security安全架构也只是实现了一个能用方式，并不是放之四海而皆准的，但是一个构架的良好扩展性是必须的，可以让使用者按照自己的需要进行扩展使用。所以为了说明本示例的实现，先假定这样一个需求
1，需要有一个Web网关服务进行权限统一认证
2，网关后面有一个用户管理服务，负责用户账号的管理
3，网关后面还存在其它的服务，但是这些服务需要认证成功之后才能访问
4，需要支持同一个请求可以被多个角色访问

服务搭建请参考源码 https://gitee.com/wgslucky/Spring-Gateway-Security

主要技能点说明

修改默认登陆页面

在项目中添加完spring security依赖之后，如果不添加任何额外的配置，这时不管发送任何请求，都会跳到spring security提供的默认登陆页面。这显然不是我们想要的，那么第一步就是要显示自定义的登陆页面。
在Spring Gateway 网关项目中添加Security的配置，如下面代码所示：

@EnableWebFluxSecurity
public class WebSecurityConfig {
    @Bean
    public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
        RedirectServerAuthenticationEntryPoint loginPoint = new RedirectServerAuthenticationEntryPoint("/xinyue-server-a/account/index");
        http.authorizeExchange().pathMatchers("/xinyue-server-a/easyui/**","/xinyue-server-a/js/**","/xinyue-server-a/account/index","/xinyue-server-a/account/login").permitAll()    
        .and().formLogin().loginPage("/xinyue-server-a/account/authen").authenticationEntryPoint(loginPoint)
        .and().authorizeExchange().anyExchange().authenticated()
        .and().csrf().disable();
        SecurityWebFilterChain chain = http.build();
        return chain;
    }
}

这里有一个容易出现理解错误的地址，网上有好多示例说是直接只配置loginPage("/my/login")即可，这样配置的话，需要你的登陆页面，和提交登陆信息的form的action都必须是一致的，只不过，一个是get方式请求/my/login，一个是post方式请求/my/login，但是大多数据情况下，我们的登陆页面地址，和登陆form的action地址是分离的，所以需要按我上面的方式进行配置才可以。

 http.authorizeExchange().pathMatchers("/xinyue-server-a/easyui/**","/xinyue-server-a/js/**","/xinyue-server-a/account/index","/xinyue-server-a/account/login").permitAll()    

这个配置表示这些请求都不做验证，直接放过。

.and().formLogin().loginPage("/xinyue-server-a/account/authen").authenticationEntryPoint(loginPoint)

这段配置表示需要认证的请求是/xinyue-server-a/account/authen(对手正常的Springmvc 服务来说，这个应该是登陆时form的action请求地址),如果没有认证，跳转到loginPoint设置的地址：/xinyue-server-a/account/index，即登陆页面。

 .and().authorizeExchange().anyExchange().authenticated()

这段配置表示其它请求都必须是认证（登陆成功）之后才可以访问。

Spring Cloud Gateway 认证方式

如果是微服务模式，在Spring cloud gateway网关处进行用户认证与授权有两种方式：

1，在Spring Cloud Gateway服务这里添加数据库访问，直接检测登陆信息是否正确，如果正确，再给此用户授权。
2，在网关后面专门的认证服务进行登陆信息认证，如果登陆成功，在返回的Header中添加用户认证与授权需要的信息，然后在网关处理再完成认证与授权

Ajax Post登陆与认证

本示例采用第二种方式，首先是客户端向xinyue-server-a服务发送登陆请求，如下面代码所示：

这里使用ajax post方式向服务端发送登陆请求，如果登陆成功，然后再发送认证请求，在网关处完成认证。

登陆成功之后，返回用户信息，缓存在网关session中

在本示例的源码中，在xinyue-server-a服务中模拟用户登陆成功，并返回此登陆用户的信息，主要是权限信息，如下面代码所示：

    @RequestMapping("login")
    @ResponseBody
    public Object login(HttpServletResponse response) {
        JSONObject userInfo = new JSONObject();
        userInfo.put("username", "xinyues");
        List roles = new ArrayList<>();
        roles.add("Admin");
        roles.add("Dev");
        userInfo.put("roles", roles);//添加角色信息
        response.addHeader("AccountInfo", userInfo.toJSONString());//将信息放入响应的包头
        
        JSONObject result = new JSONObject();
        result.put("code", 0);
        return result;
    }

然后在网关处添加过滤器，拦截登陆请求的响应信息，如下面代码所示：

@Service
public class AuthenticationGatewayFilterFactory extends AbstractGatewayFilterFactory