JWT实现授权

构建一个全局的一体化认证和授权系统，结合JWT和非对称加密，并且通过Gateway网关实现统一的无状态权限验证和请求限流，是一个相对复杂但非常有用的架构设计。下面是一个简单的Java实现方案，涵盖了JWT的生成与验证、非对称加密的使用以及Gateway网关的配置。

### 1. JWT的生成与验证

#### 1.1 依赖

首先，确保你的项目中引入了相关的依赖项，如下所示：

```xml
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>
```

#### 1.2 JWT工具类

创建一个JWT工具类来处理JWT的生成和验证：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.security.Keys;

import java.security.Key;
import java.util.Date;

public class JwtUtils {

    private static final Key privateKey = Keys.secretKeyFor(SignatureAlgorithm.RS256); // 生成RSA非对称加密的私钥

    // 生成JWT Token
    public static String generateToken(String subject, long expirationTimeInMillis) {
        return Jwts.builder()
                .setSubject(subject)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + expirationTimeInMillis))
                .signWith(privateKey)
                .compact();
    }

    // 验证JWT Token，并返回载荷中的信息
    public static Claims parseToken(String token) {
        return Jwts.parserBuilder()
                .setSigningKey(privateKey)
                .build()
                .parseClaimsJws(token)
                .getBody();
    }
}

### 2. Gateway网关配置

使用Spring Cloud Gateway作为网关，并配置统一的认证和请求限流。

#### 2.1 依赖

确保你的项目中引入了Spring Cloud Gateway的依赖：

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-gateway</artifactId>
</dependency>

#### 2.2 网关配置

创建一个网关配置类，配置JWT认证和请求限流等：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpStatus;
import org.springframework.http.ResponseEntity;
import org.springframework.security.config.annotation.web.reactive.EnableWebFluxSecurity;
import org.springframework.security.web.server.SecurityWebFilterChain;
import org.springframework.security.web.server.authorization.HttpStatusServerAccessDeniedHandler;
import org.springframework.web.reactive.config.EnableWebFlux;
import org.springframework.web.server.ServerWebExchange;
import org.springframework.web.server.WebFilter;

import reactor.core.publisher.Mono;

@Configuration
@EnableWebFlux
public class GatewayConfig {

    // JWT认证过滤器
    @Bean
    public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
        return http
                .authorizeExchange()
                    .pathMatchers("/api/**").authenticated()
                    .anyExchange().permitAll()
                    .and()
                .exceptionHandling()
                    .accessDeniedHandler(new HttpStatusServerAccessDeniedHandler(HttpStatus.UNAUTHORIZED))
                    .and()
                .build();
    }

    // 请求限流过滤器
    @Bean
    public WebFilter rateLimitFilter() {
        return (exchange, chain) -> {
            // Implement rate limiting logic here
            return chain.filter(exchange);
        };
    }
}

### 3. 使用示例

#### 3.1 生成JWT Token

String token = JwtUtils.generateToken("username", 3600000); // 生成一个有效期为1小时的Token

#### 3.2 验证JWT Token

try {
    Claims claims = JwtUtils.parseToken(token);
    // Token验证成功，可以从claims中获取用户信息等
} catch (Exception e) {
    // Token验证失败，处理异常
}

### 注意事项

- **安全性考虑**：在生产环境中，务必使用合适的密钥管理和存储方式来管理私钥和公钥。
- **JWT有效期**：合理设置JWT的有效期，以平衡安全性和用户体验。
- **请求限流**：根据具体需求实现请求限流逻辑，防止滥用和DoS攻击。