21、保障应用安全与质量：MicroProfile JWT 与测试实践

保障应用安全与质量：MicroProfile JWT 与测试实践

在当今数字化的时代，应用程序的安全和质量是至关重要的。本文将探讨如何使用 MicroProfile JWT API 来保护 Jakarta EE REST 资源，以及如何利用 JUnit 和 TestContainers 库对 Jakarta EE 应用进行测试。

1. MicroProfile JWT 保障应用安全

MicroProfile JWT 为 Jakarta EE 应用的 REST 资源提供了强大的安全保障。通过使用特定的密钥，MicroProfile JWT 运行时会自动验证和认证每个对受保护资源的 REST 调用。默认情况下，运行时会在 HTTP 授权头中查找密钥，不过也可以通过配置属性 mp.jwt.token.header 进行修改。

1.1 授权与角色映射

当客户端通过身份验证后，MicroProfile JWT 会将 JWT 声明中的组映射到客户端角色。对于每个受保护的资源，运行时会自动检查当前执行的客户端是否具有服务器声明的角色。

1.2 安全上下文传播

在令牌验证和客户端认证之后，MicroProfile JWT API 提供了获取原始令牌的方法，该令牌可以传递给微服务集群中的其他后端资源。例如，当客户端向服务 A 进行身份验证，而服务 A 依赖于服务 B 时，如果两者都使用 MicroProfile JWT 进行保护，服务 A 可以获取客户端传递的原始令牌，并使用该令牌调用服务 B，从而将 JWT 传播到服务 B。

1.3 MicroProfile JWT 的使用步骤