1. 前后端分离架构下的安全挑战

在前后端分离的现代Web应用中，传统的Session-Cookie认证机制暴露出诸多局限性。我曾参与过一个电商平台的重构项目，当我们将单体架构拆分为前后端分离时，发现原有的Session管理方式面临三大核心问题：

首先是跨域访问障碍。前端React应用运行在localhost:3000，而后端API服务部署在api.example.com，浏览器严格的同源策略导致Cookie无法自动携带。我们尝试配置CORS和withCredentials，但复杂的配置带来了维护成本。

其次是移动端兼容性问题。当App端需要接入后端服务时，原生移动平台对Cookie的支持度参差不齐。某次发版后突然收到大量iOS用户无法登录的投诉，排查发现是Safari的智能防跟踪功能阻断了Cookie传递。

最严重的是分布式系统的扩展瓶颈。当采用微服务架构后，用户认证信息需要在多个服务间共享。虽然尝试了Spring Session配合Redis的方案，但在流量高峰期间，Session同步延迟导致20%的请求出现认证失败。

2. JWT与Spring Security的整合方案

2.1 JWT的认证流程设计

基于上述痛点，我们采用JWT作为认证令牌，其工作流程经过精心设计：

1. 认证阶段：前端提交凭证到/auth/login端点时，后端通过AuthenticationManager进行认证。这里有个关键细节 - 我们采用BCryptPasswordEncoder进行密码哈希比对，即使数据库泄露也能保障用户密码安全。

@Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); }

2. 令牌生成：认证成功后，系统生成包含用户ID的JWT。特别注意我们使用HS512算法签名，密钥长度必须达到512位（64字节）以上：

String secret = "ThisIsASecretKeyWithMoreThan64BytesLength1234567890!@#$%^&*()"; Key key = new SecretKeySpec(secret.getBytes(), "HmacSHA512"); String jwt = Jwts.builder() .setSubject(userId) .setExpiration(new Date(System.currentTimeMillis() + 3600000)) .signWith(key) .compact();

3. 令牌存储：将生成的JWT返回前端，建议存储在localStorage而非Cookie中，避免CSRF攻击。同时我们在Redis中建立用户ID与令牌的映射，实现主动失效机制。

2.2 Spring Security的核心配置

安全配置类需要重点处理以下几个环节：

@Configuration @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.csrf().disable() // 禁用CSRF保护 .sessionManagement() .sessionCreationPolicy(SessionCreationPolicy.STATELESS) // 无状态会话 .and() .authorizeRequests() .antMatchers("/auth/**").permitAll() .anyRequest().authenticated(); http.addFilterBefore(jwtAuthFilter, UsernamePasswordAuthenticationFilter.class); } }

关键配置项说明：

• STATELESS会话策略确保不会创建HttpSession
• CSRF禁用是因为JWT本身具有防CSRF特性
• 将自定义的JWT过滤器置于认证过滤器之前

3. 认证过滤器的实现细节

3.1 JWT校验过滤器

创建OncePerRequestFilter的实现类处理每个请求的认证：

@Component public class JwtAuthFilter extends OncePerRequestFilter { @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { String token = resolveToken(request); if (StringUtils.hasText(token)) { Authentication authentication = getAuthentication(token); SecurityContextHolder.getContext().setAuthentication(authentication); } filterChain.doFilter(request, response); } private String resolveToken(HttpServletRequest request) { String bearerToken = request.getHeader("Authorization"); if (StringUtils.hasText(bearerToken) && bearerToken.startsWith("Bearer ")) { return bearerToken.substring(7); } return null; } private Authentication getAuthentication(String token) { Claims claims = JwtUtil.parseToken(token); String userId = claims.getSubject(); UserDetails userDetails = userDetailsService.loadUserByUsername(userId); return new UsernamePasswordAuthenticationToken( userDetails, null, userDetails.getAuthorities()); } }

3.2 令牌刷新机制

实践中我们发现JWT的固定有效期会导致用户体验下降。解决方案是采用双令牌机制：

1. Access Token：短期有效（如30分钟），用于API访问
2. Refresh Token：长期有效（如7天），存储于HttpOnly Cookie中

当Access Token过期时，前端通过专用接口使用Refresh Token获取新的Access Token。这种方案既保证了安全性，又避免了频繁登录。

4. 权限控制的最佳实践

4.1 基于注解的权限控制

Spring Security提供了灵活的方法级权限控制：

@RestController @RequestMapping("/api/products") public class ProductController { @PreAuthorize("hasRole('PRODUCT_MANAGER')") @PostMapping public Product createProduct(@RequestBody Product product) { // 创建商品逻辑 } @PreAuthorize("hasPermission(#id, 'product', 'read')") @GetMapping("/{id}") public Product getProduct(@PathVariable Long id) { // 获取商品详情 } }

4.2 动态权限加载

我们通常从数据库加载权限信息，核心实现如下：

@Service public class CustomUserDetailsService implements UserDetailsService { @Override public UserDetails loadUserByUsername(String username) { User user = userRepository.findByUsername(username); List<String> permissions = permissionRepository.findByUserId(user.getId()); List<SimpleGrantedAuthority> authorities = permissions.stream() .map(SimpleGrantedAuthority::new) .collect(Collectors.toList()); return new org.springframework.security.core.userdetails.User( user.getUsername(), user.getPassword(), authorities); } }

5. 生产环境中的安全加固

5.1 敏感信息保护

1. 密钥管理：绝对不要将JWT签名密钥硬编码在代码中。我们使用KMS服务动态获取密钥，并定期轮换。
2. 令牌黑名单：实现令牌注销功能时，需要在Redis中维护短期有效的黑名单。

5.2 性能优化

1. 缓存用户权限：用户权限信息变化频率低，适合缓存。我们采用Redis缓存权限数据，设置合理的TTL。
2. 批量验证：当需要验证大量令牌时（如定时任务），采用pipeline方式减少Redis往返次数。

6. 常见问题排查指南

问题1：登录成功但后续请求返回403

排查步骤：

1. 检查请求头是否包含正确的Authorization: Bearer
2. 验证令牌是否过期（通过https://jwt.io调试）
3. 检查Redis中用户权限数据是否完整

问题2：跨域请求无法携带令牌

解决方案：

@Configuration public class CorsConfig implements WebMvcConfigurer { @Override public void addCorsMappings(CorsRegistry registry) { registry.addMapping("/**") .allowedOrigins("*") .allowedMethods("*") .allowedHeaders("*") .exposedHeaders("Authorization") // 关键配置 .allowCredentials(true); } }

问题3：微服务间的认证传递

在Gateway服务中转换JWT为自定义的X-Service-Auth头，内部服务通过Feign拦截器自动传递：

@Bean public RequestInterceptor requestInterceptor() { return template -> { String token = Optional.ofNullable(RequestContextHolder.getRequestAttributes()) .map(attrs -> ((ServletRequestAttributes) attrs).getRequest()) .map(req -> req.getHeader("X-Service-Auth")) .orElse(""); template.header("X-Service-Auth", token); }; }

7. 安全监控与审计

完善的监控体系应包括：

1. 异常登录检测：记录登录IP、设备信息，对异常登录尝试进行告警
2. 令牌使用分析：统计各API的令牌使用情况，识别潜在攻击
3. 权限变更审计：记录所有权限变更操作，保留操作人及时戳

我们通过Spring Boot Actuator暴露安全指标，结合Prometheus和Grafana实现可视化监控。