Java 微服务场景下的认证授权，大家是用现成的框架还是自研呢

[limyel]

如题，最近一直在搞微服务场景下的认证授权，总是感觉力不从心。

• Spring Shiro：基本不考虑了
• Spring Security：配置 OAuth2.0 服务器有点麻烦，而且 SpringBoot2.XX 下原来那套废弃了，新的 SAS 只能用 0.4.X 版本的，又不想升级到 SpringBoot3.X + JDK17+。
• sa-token：目前在尝试用这个，用起来感觉比 Spring Security 清爽很多，清明试试看效果如何。
• 自研：正在考虑

我们公司技术很垃圾，所以我想请教一下大家在生产中是用什么呢？

自己写一套合适吗（感觉就是利用过滤器和 AOP ），如果自己写的话需要注意哪些地方（特别是微服务场景下）呢？

[fkdog]

像 OAuth 这种流程可以自己实现，原理也不难。

这种认证授权最大的难点在与安全两个字，大部分开发不是很少涉猎安全领域，自己实现的登陆功能往往都是漏洞百出。很多公司内网系统，随便扫扫，什么 xss 、csrf 、session fixation 都能扫出来。所以对于安全类的功能，不要自己造轮子。

事实上微服务压根就不需要什么 OAuth 。
你单体架构里的 Service 替换成 RPC 调用就是微服务了，用不用 OAuth 跟是不是微服务没有任何关系。

[Ashe007]

一群若知，完全不懂装懂

[Ashe007]

1.从业年龄<3 年
选 Spring Security 方案实现，作用于网关(SpringClou d 的 Gateway/Netflix 的 Zuul)，微服务系统的请求都是通过网关同一进入系统内的，在此处进行鉴权&授权。tips:认证授权的核心与 AOP 没有关系
2.从业年龄≥3 年
建议辞职，把岗位让给有能力的人，还自研都出来了 你理解 Oauth2 协议吗?

[totoro52]

我选了 Spring Security ，我单独设计了一个认证服务， 网关去调认证， 写了个注解去扫描每一个控制器的 path ，自动配置入库，分配权限时就是分配这个 path ， 一个请求进来了就取 path 去判断， 判断这块也是拿 Spring Security 去做，它自带一大堆 filter 和 handler ，改改就可以轻松完成这些需求，就这样就完成了认证和鉴权。 认证那块我没使用 Security 的 oauth2 ，慎用他， 坑非常多。

[totoro52]

另外你说的 Oauth2 ，这个和微服务有直接关联吗。。。Oauth2 是用来连通两个站点之间的账号体系的授权，好像和微服务没啥关系吧，或者说你的微服务没有网关，每个服务单独一个域名？ 为了做域名之间的认证？ 那也和 Oauth2 没啥关系，应该和单点登录有关系