SpringCloud办理feign调用token丢失问题

背景讨论

feign请求

在微服务环境中，完成一个http请求，经常必要调用其他好几个服务才可以完成其功能，这种情况非常广泛，无法避免。那么就必要服务之间的通过feignClient发起请求，获取必要的 资源。
认证和鉴权

一般而言，微服务项目摆设环境中，各个微服务都是运行在内网环境，网关服务负责请求的路由，对外通过nginx暴露给请求者。
这种情况下，似乎网关这里做一个认证，就可以确保请求者是正当的，至于微服务调用微服务，反正都是本身人，而且是内网，无所谓是否验证身份了。
我有一个朋友，他们公司的项目确实就是这样做的，正经的商业项目。
讲道理，只要框架提供了这样的功能，那么就有存在的意义，但是，假如涉及权限的校验，微服务之间的feign调用就必要知道身份了，即必要做鉴权。
token

无论是JWT、还是OAUTH2、还是shiro，各人比较公认的认证、鉴权方案，就是在请求头中放一堆东西，然后服务提供者通过解析这些东西完成认证和鉴权，这些东西俗称token。
在feign调用中必要办理的就是token传递的问题，只有请求发起者将正确的token传递给服务提供者，服务提供者才能完成认证&鉴权，进而返回必要的资源。
问题描述

在feign调用中可能会遇到如下问题：

• 同步调用中，token丢失，这种可以通过创建一个拦截器，将token做透传来办理
  
• 异步调用中，token丢失，这种就无法直接透传了，由于子线程并没有token，这种必要先将token从父线程传递到子线程，再进行透传
  

办理方案

token透传

编写一个拦截器，在feign请求前，将http请求携带的token传递给restTemplate。
具体实现方式为：

• 创建一个Component实现com.nghsmart.ar.context.RequestAttributeContext中的RequestInterceptor接口
  
• 重写apply方法
  
• 通过RequestContextHolder对象获取到RequestAttributes
  
• 通过RequestAttributes对象获取到HttpServletRequest
  
• 通过HttpServletRequest对象获取到请求头
  
• 在请求头中把token拿出来
  
• 将token塞进restTemplate创建的http请求头中
  

示例代码：
BizFeignRequestInterceptor

1. import com.nghsmart.ar.context.RequestAttributeContext;
2. import com.nghsmart.common.core.utils.ServletUtils;
3. import com.nghsmart.common.core.utils.StringUtils;
4. import com.nghsmart.common.core.utils.ip.IpUtils;
5. import com.nghsmart.common.security.constant.FeignRequestHeader;
6. import feign.RequestInterceptor;
7. import feign.RequestTemplate;
8. import lombok.extern.slf4j.Slf4j;
9. import org.springframework.core.annotation.Order;
10. import org.springframework.stereotype.Component;
11. import org.springframework.web.context.request.AbstractRequestAttributes;
12. import org.springframework.web.context.request.FacesRequestAttributes;
13. import org.springframework.web.context.request.RequestAttributes;
14. import org.springframework.web.context.request.RequestContextHolder;
15. import javax.servlet.http.HttpServletRequest;
16. import java.util.Map;
20. @Slf4j
21. @Order(1)
22. @Component
23. public class BizFeignRequestInterceptor implements RequestInterceptor {
24.     @Override
25.     public void apply(RequestTemplate requestTemplate) {
26.         RequestAttributes attributes = RequestContextHolder.getRequestAttributes();
27.         if (null! = attributes) {
28.             ServletRequestAttributes servletRequestAttributes = (ServletRequestAttributes) attributes;
29.             String token = servletRequestAttributes.getRequest().getHeader("token");
30.             requestTemplate.header("token",token);
31.         }
32.     }
33. }

复制代码

token异步线程传递

上述添加BizFeignRequestInterceptor只能办理同步调用环境下的token传递问题，当是异步线程环境下就GG了。
通过在主线程中自动将RequestAttribute传递到子线程中可以办理一部分异步线程中token传递的问题，示例代码如下：

1. RequestContextHolder.setRequestAttributes(RequestContextHolder.getRequestAttributes(), true);

复制代码

但是这种方式有弊端，当主线程先于子线程结束的时候，子线程将获取不到RequestAttribute，原因是Tomcat会在http请求结束的时候清空数据。
我们可以创建一个InheritableThreadLocal用来保存RequestAttribute，这样就可以完美办理问题了。
实现思路为：

• 创建一个 RequestAttributeContext，其中维护一个InheritableThreadLocal对象，用来存RequestAttributes
  
• 创建一个RequestAttributeInterceptor，实现HandlerInterceptor, WebMvcConfigurer接口，用来在请求开始前把 RequestAttributes 存放到 RequestAttributeContext 中
  
• 修改 BizFeignRequestInterceptor ，当无法获取到  RequestAttributes  的时候，就从 RequestAttributeContext 中获取
  
• 透传逻辑不变
  

相关示例代码如下：
RequestAttributeContext

1. import lombok.Data;
2. import lombok.extern.slf4j.Slf4j;
3. import org.springframework.web.context.request.RequestAttributes;
7. @Slf4j
8. public class RequestAttributeContext {
10.     private static final ThreadLocal<RequestAttributes> context = new InheritableThreadLocal<>();
12.     public static void setAttribute(RequestAttributes attributes) {
13.         if (null == attributes) {
14.             log.debug("RequestAttributes is null");
15.         }
16.         context.set(attributes);
17.     }
19.     public static RequestAttributes getAttribute() {
20.         return context.get();
21.     }
23.     public static void removeAttribute() {
24.         context.remove();
25.     }
27. }

复制代码

RequestAttributeInterceptor

1. import com.alibaba.fastjson.JSON;
2. import com.nghsmart.ar.context.RequestAttributeContext;
3. import lombok.extern.slf4j.Slf4j;
4. import org.springframework.context.annotation.Configuration;
5. import org.springframework.web.context.request.RequestAttributes;
6. import org.springframework.web.context.request.RequestContextHolder;
7. import org.springframework.web.servlet.HandlerInterceptor;
8. import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
9. import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
10. import javax.servlet.http.HttpServletRequest;
11. import javax.servlet.http.HttpServletResponse;
15. @Slf4j
16. @Configuration
17. public class RequestAttributeInterceptor implements HandlerInterceptor, WebMvcConfigurer {
19.     /**
20.      * 重写 WebMvcConfigurer 的 addInterceptors，将 RequestAttributeInterceptor 添加到拦截器列表
21.      *
22.      * @param registry
23.      */
24.     @Override
25.     public void addInterceptors(InterceptorRegistry registry) {
26.         registry.addInterceptor(this).addPathPatterns("/**").excludePathPatterns("/swagger-resources/**", "/v2/api-docs/**");
27.     }
28.     /**
29.      * 重写 HandlerInterceptor 的 preHandle，在请求开始处理前，将 RequestAttribute 存入 RequestAttributeContext
30.      *
31.      * @param request  current HTTP request
32.      * @param response current HTTP response
33.      * @param handler  chosen handler to execute, for type and/or instance evaluation
34.      * @return
35.      * @throws Exception
36.      */
37.     @Override
38.     public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
39.         RequestAttributes requestAttributes = RequestContextHolder.getRequestAttributes();
40.         RequestAttributeContext.setAttribute(requestAttributes);
41.         return true;
42.     }
43.  
44. }

复制代码

BizFeignRequestInterceptor

1. import com.nghsmart.ar.context.RequestAttributeContext;
2. import com.nghsmart.common.core.utils.ServletUtils;
3. import com.nghsmart.common.core.utils.StringUtils;
4. import com.nghsmart.common.core.utils.ip.IpUtils;
5. import com.nghsmart.common.security.constant.FeignRequestHeader;
6. import feign.RequestInterceptor;
7. import feign.RequestTemplate;
8. import lombok.extern.slf4j.Slf4j;
9. import org.springframework.core.annotation.Order;
10. import org.springframework.stereotype.Component;
11. import org.springframework.web.context.request.AbstractRequestAttributes;
12. import org.springframework.web.context.request.FacesRequestAttributes;
13. import org.springframework.web.context.request.RequestAttributes;
14. import org.springframework.web.context.request.RequestContextHolder;
15. import javax.servlet.http.HttpServletRequest;
16. import java.util.Map;
19. @Slf4j
20. @Order(1)
21. @Component
22. public class BizFeignRequestInterceptor implements RequestInterceptor {
24.     @Override
25.     public void apply(RequestTemplate requestTemplate) {
26.         RequestAttributes attributes = RequestContextHolder.getRequestAttributes();
27.         if (null! = attributes) {
28.             ServletRequestAttributes servletRequestAttributes = (ServletRequestAttributes) attributes;
29.             String token = servletRequestAttributes.getRequest().getHeader("token");
30.             requestTemplate.header("token",token);
31.         }else {
32.             RequestAttributes requestAttributes = RequestAttributeContext.getAttribute();
33.             if (null != requestAttributes) {
34.                 RequestContextHolder.setRequestAttributes(requestAttributes);
35.             } else {
36.                 log.debug("requestAttributes is null");
37.             }
38.             ServletRequestAttributes servletRequestAttributes = (ServletRequestAttributes) requestAttributes;
39.             String token = servletRequestAttributes.getRequest().getHeader("token");
40.             requestTemplate.header("token",token);
41.         }
42.     }
43. }

复制代码

引用

https://zhuanlan.zhihu.com/p/545508501
技能交流QQ群：1158377441 接待关注我的微信公众号【TechnologyRamble】，后续博文将在公众号首发：

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。