在现代微服务架构中，系统往往包括 Web 管理后台、移动端 App、小程序、API 网关等多个前端入口，服务端也分布为多个独立的微服务模块。要想实现 统一登录、权限控制、多端接入、安全隔离，一个集中化、标准化的认证授权方案是必不可少的。

OAuth2 是被广泛应用的开放授权协议，而 Spring Cloud Gateway 作为 Spring Cloud 的官方网关解决方案，具备良好的扩展性与统一拦截能力。二者结合，可以构建出一个安全、可维护、可扩展的认证体系。

本文将深入探讨 OAuth2 与 Spring Cloud Gateway 的结合实践，搭建一个支持前后端分离的统一认证架构。

一、系统整体架构设计

pgsql复制编辑[Web前端] [App] [第三方系统]
       ↓         ↓
  +----------------------+
  | Spring Cloud Gateway |
  +----------------------+
         ↓ 鉴权过滤
 +-------------------------+
 | OAuth2 Auth Server     |
 | (Spring Authorization) |
 +-------------------------+
         ↓ 颁发 Token
 +-----------------------------+
 | 后端微服务 (订单/库存/用户) |
 +-----------------------------+

模块	功能说明
前端客户端	登录表单、Token 获取、资源访问入口
Gateway 网关	拦截请求、转发服务、统一鉴权
OAuth2 授权服务	实现 Token 颁发、刷新、用户认证等逻辑
后端资源服务	提供用户数据、业务逻辑，需校验 Token

二、OAuth2 授权模式回顾

OAuth2 定义了四种授权模式：

模式	场景适用
Authorization Code	前后端分离的网页授权
Client Credentials	系统间接口调用（无用户）
Resource Owner Password	App 内部登录使用（已废弃，不推荐）
Implicit	浏览器纯前端使用（已废弃）

对于 Web 应用，使用 Authorization Code + PKCE 模式
对于系统对系统通信，使用 Client Credentials 模式
对于 App，可采用授权码或通过中间认证跳转接口实现登录

三、OAuth2 服务端实现（Spring Authorization Server）

xml复制编辑  org.springframework.boot  spring-boot-starter-oauth2-authorization-server

java复制编辑@Beanpublic RegisteredClientRepository clientRepository() {    RegisteredClient client = RegisteredClient.withId(UUID.randomUUID().toString())
        .clientId("gateway-client")
        .clientSecret("{noop}secret123")
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
        .authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN)
        .redirectUri("http://localhost:8080/login/oauth2/code/gateway-client")
        .scope("read").scope("write")
        .build();    return new InMemoryRegisteredClientRepository(client);
}

java复制编辑@Beanpublic UserDetailsService userDetailsService() {    UserDetails user = User.builder()
        .username("admin")
        .password(passwordEncoder().encode("123456"))
        .roles("ADMIN")
        .build();    return new InMemoryUserDetailsManager(user);
}

四、Spring Cloud Gateway 统一拦截与转发

xml复制编辑  org.springframework.cloud  spring-cloud-starter-gateway  org.springframework.boot  spring-boot-starter-oauth2-resource-server

yaml复制编辑spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://localhost:9000

java复制编辑@Componentpublic class JwtGlobalFilter implements GlobalFilter {    public Mono filter(ServerWebExchange exchange, GatewayFilterChain chain) {        String token = extractToken(exchange.getRequest());        if (token == null || !jwtService.validate(token)) {
            exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);            return exchange.getResponse().setComplete();
        }        String userId = jwtService.getClaim(token, "sub");        ServerHttpRequest mutated = exchange.getRequest().mutate()
            .header("X-User-ID", userId)
            .build();        return chain.filter(exchange.mutate().request(mutated).build());
    }
}

五、前后端 Token 获取与资源访问

bash复制编辑GET /oauth2/authorize?
  response_type=code
  &client_id=gateway-client
  &scope=read
  &redirect_uri=http://localhost:8080/login/oauth2/code/gateway-client

bash复制编辑curl -X POST http://localhost:9000/oauth2/token \
 -u "gateway-client:secret123" \
 -H "Content-Type: application/x-www-form-urlencoded" \
 -d "grant_type=authorization_code&code=xxxx&redirect_uri=http://localhost:8080/login/oauth2/code/gateway-client"

json复制编辑{
  "access_token": "eyJ...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "scope": "read write"}

六、微服务资源端配置（接收 JWT）

yaml复制编辑spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://localhost:9000

java复制编辑@GetMapping("/user/info")@PreAuthorize("hasAuthority('SCOPE_read')")public String getUserInfo() {    return "当前用户信息";
}

七、多端支持策略（PC / App / 第三方）

App 中访问 OAuth2 登录接口
后端授权后颁发 Token
App 存储 access_token 与 refresh_token

使用 OIDC 兼容模式进行接入
后端使用 JWT 携带登录态信息统一认证

八、Token 策略与续期机制

类型	描述	有效期
access_token	访问资源服务所用	一般 1h
refresh_token	用于刷新 access_token	一般 7d

bash复制编辑POST /oauth2/token
grant_type=refresh_token
refresh_token=xxxxxx

九、单点登录（SSO）与注销

统一 Auth Server 颁发 Token
所有服务均从 Gateway 转发并校验 Token
多端共享 access_token 即可

删除 access_token、refresh_token
网关拦截器检测无效 Token 自动跳转登录

十、安全控制建议

控制维度	建议实践
Token 加密	使用非对称加密 JWT（RSA）
Token 黑名单	注销后加入黑名单或过期
跨域控制	配置网关全局 CORS 策略
权限控制粒度	使用 Scope + Role 结合控制
滥用防护	引入限流（RateLimiter）机制

十一、统一认证服务项目结构建议

arduino复制编辑auth-server/
├── config/         // Security配置├── token/          // JWT 策略管理├── controller/     // 登录/登出/刷新接口├── client/         // 客户端管理├── dto/            // 请求响应对象├── model/          // 用户与权限实体

十二、总结与拓展

本文构建了一个完整的 OAuth2 + Gateway 认证架构，包括：

Spring Authorization Server 快速搭建
Gateway 统一鉴权拦截与 Token 注入
多端登录支持（PC / App / 第三方）
微服务安全资源校验与权限控制
Token 策略管理、刷新机制与 SSO 实践

OAuth2 + Spring Cloud Gateway 实战

一、系统整体架构设计

1.1 架构图示

1.2 核心模块

二、OAuth2 授权模式回顾

三、OAuth2 服务端实现（Spring Authorization Server）

3.1 引入依赖

3.2 注册客户端信息

3.3 登录认证配置

四、Spring Cloud Gateway 统一拦截与转发

4.1 网关依赖

4.2 统一鉴权配置

4.3 自定义全局过滤器处理 JWT

五、前后端 Token 获取与资源访问

5.1 登录授权页面

5.2 Token 交换流程

六、微服务资源端配置（接收 JWT）

控制器中权限校验

七、多端支持策略（PC / App / 第三方）

7.1 支持 App 登录

7.2 支持第三方系统（企业微信、钉钉）

八、Token 策略与续期机制

8.1 统一 Token 策略

8.2 自动刷新机制

九、单点登录（SSO）与注销

9.1 单点登录思路

9.2 注销实现

十、安全控制建议

十一、统一认证服务项目结构建议

十二、总结与拓展