jwt - 具有自定义授权的 JWT 和 KONG

Question

我在 KONG https://getkong.org/plugins/jwt/上浏览了本教程

我了解 JWT 和授权概念。我已经使用 Spring Boot 对 JWT 进行了原型设计，我可以在其中放置自己的键值，例如 {"authorizations":"role_admin, role_user"}。

在 Spring Boot 中很容易做到这一点，但我无法找到有关如何使用 KONG 做到这一点的信息。任何人都有关于它的任何信息？

Answer 1

Kong 社区版只能处理身份验证过程（授予或拒绝客户访问）。

授权过程（给定客户可以在您的应用程序中执行的操作）由您的应用程序或https://getkong.org/plugins/ee-oauth2-introspection/ oauth2 introspection 插件处理，该插件仅是企业版

X-Consumer-Username如果用户通过身份验证或 kong 代理的原始令牌标头，您可以根据请求标头编写自己的授权服务器

希望有帮助

Answer 2

kong jwt 插件不支持将自定义负载参数发送到上游 api。但是，您似乎可以使用此插件（我尚未对其进行测试）：

https://github.com/wshirey/kong-plugin-jwt-claims-headers

更新：

如果您将 Kong 设置为转发所有标头，您将获得带有 jwt 令牌的原始 Authorization 标头。因此，您可以对 jwt 令牌进行 base64 解码，并在服务中手动提取您需要的声明/有效负载参数。