我试图实现检查JWT的WebFilter
并在检查失败或结果无效时抛出异常。我有一个处理这些异常的@ControllerAdvice
类。但它没有用。
WebFilter
类:@Component
public class OktaAccessTokenFilter implements WebFilter {
private JwtVerifier jwtVerifier;
@Autowired
public OktaAccessTokenFilter(JwtVerifier jwtVerifier) {
this.jwtVerifier = jwtVerifier;
}
@Override
public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
return Optional.ofNullable(exchange.getRequest().getHeaders().get("Authorization"))
.flatMap(list -> list.stream().findFirst())
.filter(authHeader -> !authHeader.isEmpty() && authHeader.startsWith("Bearer "))
.map(authHeader -> authHeader.replaceFirst("^Bearer", ""))
.map(jwtString -> {
try {
jwtVerifier.decodeAccessToken(jwtString);
} catch (JoseException e) {
throw new DecodeAccessTokenException();
}
return chain.filter(exchange);
}).orElseThrow(() -> new AuthorizationException());
}
}
@ControllerAdvice
public class SecurityExceptionHandler {
@ExceptionHandler(AuthorizationException.class)
public ResponseEntity authorizationExceptionHandler(AuthorizationException ex) {
return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build();
}
@ExceptionHandler(DecodeAccessTokenException.class)
public ResponseEntity decodeAccessTokenExceptionHandler(DecodeAccessTokenException ex) {
return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build();
}
}
我认为@ControllerAdvice
类无法处理WebFilter
抛出的异常。因为,如果我将异常移动到控制器,它就可以工作。
@Override
public Mono<Void> filter(ServerWebExchange exchange, WebFilterChain chain) {
Optional<String> authJwt = Optional.ofNullable(exchange.getRequest().getHeaders().get("Authorization"))
.flatMap(list -> list.stream().findFirst())
.filter(authHeader -> !authHeader.isEmpty() && authHeader.startsWith("Bearer "))
.map(authHeader -> authHeader.replaceFirst("^Bearer", ""));
if (authJwt.isPresent()) {
String jwtString = authJwt.get();
try {
jwtVerifier.decodeAccessToken(jwtString);
} catch (JoseException e) {
exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
return exchange.getResponse().writeWith(Mono.empty());
}
} else {
exchange.getResponse().setStatusCode(HttpStatus.UNAUTHORIZED);
return exchange.getResponse().writeWith(Mono.empty());
}
return chain.filter(exchange);
}
您如何看待这个问题?你知道另一种实现它的方法吗?
答案 0 :(得分:2)
我在 webflux 中遇到了同样的问题,您不想在 webfilter 中抛出直接异常或返回单声道错误),但是您想将响应设置为包含异常的单声道错误(接近您的完成了)。这将允许在请求工作流的正确部分抛出异常,因此它将冒泡到您的其余控制器建议
public class YourFilter implements WebFilter{
@Override
public Mono<Void> filter(final ServerWebExchange exchange, final WebFilterChain chain){
exchange.getResponse().writeWith(Mono.error(new YouException()));
return chain.filter(exchange);
}
}
答案 1 :(得分:1)
您可以尝试为@Order()
和@ControllerAdvice
bean定义@WebFilter
,并优先@ControllerAdvice
。
但是,我不认为这是可行的方法,主要原因是@ControllerAdvice
异常处理程序不会返回被动类型。相反,我会定义一个实现ErrorWebExceptionHandler
的bean。这个处理程序通过`spring-webflux添加到反应流中,因此您不必担心优先级。有关详细信息,请参阅this answer。
答案 2 :(得分:0)
我已经尝试过了,但出现 CORS 错误 这是错误:
从源 'http://localhost:4200' 访问 XMLHttpRequest at 'http://localhost:8084/users/files' 已被 CORS 策略阻止:对预检请求的响应未通过访问控制检查:请求的资源上不存在“Access-Control-Allow-Origin”标头。