知識庫 / Spring / Spring Security RSS 訂閱

還有一件需要處理的事，那就是用於驗證 JWT 的實際密鑰。要做到這一點，我們需要提供用於對 JWT 進行簽名（在本例中是對稱的）的密鑰。與其手動編寫配置代碼，不如使用 spring-security-oauth2-autoconfigure。

讓我們先將該 Artifact 添加到我們的項目：

<dependency>
    <groupId>org.springframework.security.oauth.boot</groupId>
    <artifactId>spring-security-oauth2-autoconfigure</artifactId>
    <version>2.1.2.RELEASE</version>
</dependency>

接下來，我們需要在我們的 application.yaml 文件中添加幾行配置，以定義用於 JWT 簽名的密鑰：

security:
  oauth2:
    resource:
      jwt:
        key-value: 123

行 key-value: 123 設置了授權服務器用於對 JWT 進行簽名的對稱密鑰。此密鑰將由 spring-security-oauth2-autoconfigure 用於配置令牌解析。

請注意，在生產系統中，我們不應使用應用程序源代碼中指定的對稱密鑰。 這自然需要外部配置。

7. 測試邊緣服務

This section describes how to test the Edge Service. Testing is crucial to ensure the service is functioning correctly and meeting performance requirements.

7.1 Test Cases

The following test cases should be executed:

• Connectivity Test: Verify the Edge Service can establish and maintain connections to the backend services.
• Data Processing Test: Validate that data is processed correctly by the Edge Service, including data transformation and filtering.
• Latency Test: Measure the latency of requests processed by the Edge Service.
• Throughput Test: Assess the maximum throughput the Edge Service can handle.
• Error Handling Test: Confirm that the Edge Service handles errors gracefully and logs appropriate error messages.
• Scalability Test: Evaluate the Edge Service's ability to handle increasing workloads.

7.2 Test Environment

The following environment is required for testing:

• A dedicated test network isolated from production.
• The Edge Service deployed in a staging environment.
• Access to the backend services being integrated with the Edge Service.

7.3 Testing Tools

The following tools can be used for testing:

• Load Testing Tools: JMeter, Gatling
• Monitoring Tools: Prometheus, Grafana
• Debugging Tools: (Specific tools will depend on the Edge Service's architecture)

7.1. 獲取訪問令牌

現在讓我們測試 Zuul 邊緣服務的功能 – 使用一些 curl 命令。

首先，我們將查看如何從授權服務器獲取新的 JWT，使用 密碼授權類型。

在這裏，我們將 用户名和密碼用於獲取訪問令牌。 在這種情況下，我們將 ‘john‘ 作為用户名，以及 ‘123‘ 作為密碼：

curl -X POST \
  http://localhost:8080/oauth/token \
  -H 'Authorization: Basic Zm9vQ2xpZW50SWRQYXNzd29yZDpzZWNyZXQ=' \
  -H 'Cache-Control: no-cache' \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'grant_type=password&password=123&username=john'

此調用會產生一個 JWT 令牌，我們可以將其用於對我們的資源服務器進行身份驗證的請求。

請注意 “Authorization: Basic…” 標頭字段。此字段用於告知身份驗證服務器哪個客户端正在與之通信。

它對客户端（在本例中為 cURL 請求）就像用户名和密碼對用户一樣。

{    
    "access_token":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpX...",
    "token_type":"bearer",    
    "refresh_token":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpX...",
    "expires_in":3599,
    "scope":"foo read write",
    "organization":"johnwKfc",
    "jti":"8e2c56d3-3e2e-4140-b120-832783b7374b"
}

7.2. 測試資源服務器請求

我們可以使用從授權服務器檢索到的 JWT，現在執行一個查詢，該查詢針對資源服務器：

curl -X GET \
curl -X GET \
  http:/localhost:8080/spring-security-oauth-resource/users/extra \
  -H 'Accept: application/json, text/plain, */*' \
  -H 'Accept-Encoding: gzip, deflate' \
  -H 'Accept-Language: en-US,en;q=0.9' \
  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXV...' \
  -H 'Cache-Control: no-cache' \

Zuul 邊緣服務現在將在路由到資源服務器之前驗證 JWT。

然後，它會從 JWT 中提取關鍵字段並進行更細粒度的授權檢查，然後再對請求作出響應：

{
    "user_name":"john",
    "scope":["foo","read","write"],
    "organization":"johnwKfc",
    "exp":1544584758,
    "authorities":["ROLE_USER"],
    "jti":"8e2c56d3-3e2e-4140-b120-832783b7374b",
    "client_id":"fooClientIdPassword"
}

8. 多層安全保障

需要注意的是，JWT 在通過之前，首先會被 Zuul 邊緣服務進行驗證。如果 JWT 無效，則請求將在邊緣服務邊界處被拒絕。

如果 JWT 確實有效，則請求會被傳遞到下游。資源服務器隨後會再次驗證 JWT 並提取關鍵字段，例如用户權限範圍、組織（在本例中為自定義字段）和權限。它利用這些字段來確定用户可以執行的操作以及不能執行的操作。

為了明確起見，在許多架構中，我們可能不需要對 JWT 進行兩次驗證——這是一個您需要根據流量模式做出的決定。

例如，在某些生產項目中，單個資源服務器可能直接訪問，也可能通過代理訪問——並且我們可能需要在這兩個地方驗證令牌。而在其他項目中，流量可能僅通過代理進行，此時僅在代理處驗證令牌就足夠了。

9. 總結

正如我們所見，Zuul 提供了一種簡單、可配置的方法，用於抽象和定義服務路由。結合使用 Spring Security，它允許我們在服務邊界處進行請求授權。