API Gateway와 Security — MSA에서 인증을 처리하는 패턴

@Component
public class JwtAuthFilter implements GlobalFilter, Ordered {
    private final JwtProvider jwtProvider;

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
        String token = extractToken(exchange.getRequest());

        if (token == null || !jwtProvider.isValid(token)) {
            exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
            return exchange.getResponse().setComplete();
        }

        // 토큰에서 사용자 정보 추출 → 헤더로 전달
        Claims claims = jwtProvider.getClaims(token);
        ServerHttpRequest request = exchange.getRequest().mutate()
            .header("X-User-Id", claims.getSubject())
            .header("X-User-Roles", claims.get("roles", String.class))
            .build();

        return chain.filter(exchange.mutate().request(request).build());
    }
}

@GetMapping("/orders")
public List<Order> getOrders(
        @RequestHeader("X-User-Id") String userId,
        @RequestHeader("X-User-Roles") String roles) {
    // Gateway가 이미 인증을 마쳤으므로 여기서는 인가만
    if (!roles.contains("ORDER_READ")) {
        throw new AccessDeniedException("권한 없음");
    }
    return orderService.findByUserId(userId);
}

// 각 마이크로서비스의 SecurityConfig
http.oauth2ResourceServer(oauth2 -> oauth2
    .jwt(jwt -> jwt.jwkSetUri("https://auth-server/.well-known/jwks.json"))
);

# 공격자가 직접 마이크로서비스에 요청
curl -H "X-User-Id: admin" http://order-service:8080/orders