1.1 携带 Token 访问受保护接口#

1.2 匿名身份与正式身份#

userId 与 userTempId 的可信等级不同：

• userId 理论上应来自 Redis 中的有效会话。
• userTempId 本来就由客户端生成或保存，只用于匿名数据归属，不等价于认证身份。

2.1 外部配置入口#

AuthFilter 通过属性 authUrls.url 取得一个路径模式。

运行中调用：

1
boolean isNeedLogin =
2
        judgeNeedLoginByUrl(path, authUrl);

实际匹配方法：

1
private boolean judgeNeedLoginByUrl(
2
        String path,
3
        String authUrl
4
) {
5
    PathPattern pattern = parser.parse(authUrl);
6
    PathContainer container =
7
            PathContainer.parsePath(path);
8
    return pattern.matches(container);
9
}

代码出处：

• 路径：duolaimall-gateway/src/main/java/com/cskaoyan/mall/gateway/filter/AuthFilter.java
• 类与方法：AuthFilter#judgeNeedLoginByUrl

当前运行入口没有使用同类中保留的 AntPathMatcher 方法 judgeNeedLogin。

2.2 单模式边界#

authUrl 是一个 String，代码没有：

• 读取 List；
• 按逗号拆分；
• 遍历多个模式；
• 显式维护白名单。

因此当前实现从代码层只确认“一个 PathPattern 字符串”。

真实 Nacos 中配置了什么，本轮没有读取，不能确认覆盖了哪些接口。

2.3 登录接口为何必须是公开路径#

AuthFilter 对所有经过 Gateway 的请求执行。

如果 /user/login 被 authUrls.url 匹配为需要登录，就会形成循环：

1. 用户没有 Token；
2. 登录接口要求已有登录态；
3. Gateway 返回未登录；
4. 用户永远无法建立会话。

所以登录路径必须不匹配受保护模式。

这项要求来自鉴权逻辑，但当前 Nacos 值未验证。

3.1 主过滤流程#

源码节选：

• 路径：duolaimall-gateway/src/main/java/com/cskaoyan/mall/gateway/filter/AuthFilter.java
• 类与方法：AuthFilter#filter

1
String path = request.getURI().getPath();
2

3
boolean isNeedLogin =
4
        judgeNeedLoginByUrl(path, authUrl);
5

6
String userId = hasLogin(request);
7

8
if ("-1".equals(userId)) {
9
    return out(
10
            response,
11
            ResultCodeEnum.ILLEGAL_REQUEST
12
    );
13
}
14

15
if (userId == null && isNeedLogin) {
16
    return out(
17
            response,
18
            ResultCodeEnum.LOGIN_AUTH
19
    );
20
}

顺序非常重要：

1. 先判断路径是否需要登录；
2. 仍然对请求调用 hasLogin；
3. IP 异常优先拦截；
4. 只有“未登录且路径受保护”才返回未登录；
5. 其余情况继续构造下游请求。

因为 hasLogin 在公开路径上也会执行，公开请求若携带了一个存在但 IP 不匹配的 Token，同样会被判为非法请求，而不是自动降级成匿名请求。

3.2 Token 提取优先级#

源码节选：

1
String token =
2
        request.getHeaders().getFirst("token");
3

4
if (StringUtils.isBlank(token)) {
5
    HttpCookie cookie =
6
            request.getCookies().getFirst("token");
7

8
    if (cookie != null) {
9
        token = cookie.getValue();
10
    }
11
}
12

13
if (StringUtils.isBlank(token)) {
14
    return null;
15
}

优先级是：

1
非空 Header token
2
    > Cookie token
3
    > 未登录

如果 Header 中存在一个无效 Token，同时 Cookie 中存在有效 Token，代码不会回退到 Cookie，因为只有 Header 为空时才读取 Cookie。

3.3 Redis 查询与 IP 比对#

源码节选：

• 类与方法：AuthFilter#hasLogin

1
String key =
2
        UserConstants.USER_LOGIN_KEY_PREFIX + token;
3

4
RBucket<UserLoginInfoDTO> bucket =
5
        redissonClient.getBucket(key);
6

7
UserLoginInfoDTO loginInfo = bucket.get();
8

9
if (loginInfo == null) {
10
    return null;
11
}
12

13
String ip = loginInfo.getIp();
14
String userId = loginInfo.getUserId();
15

16
String nowIp =
17
        IpUtil.getGatwayIpAddress(request);
18

19
if (!ip.equals(nowIp)) {
20
    return "-1";
21
}
22

23
return userId;

返回值被复用成三种状态：

“-1” 是哨兵值，不是用户对象或枚举。

如果未来数据库可能存在 ID 为 -1 的用户，就会和异常状态冲突；当前 BaseEntity 使用自增 Long，未发现这种实际数据证据。

更清晰的长期设计可以返回专门的认证结果对象或枚举，但当前代码确实使用字符串哨兵。

4.1 路径、Token 与 IP#

4.2 Header 与 Cookie#

4.3 userTempId#

userTempId 没有 Redis 校验和 IP 校验，这是匿名购物车标识，不应被当成登录认证结果。

5.1 写入 userId#

源码节选：

• 路径：duolaimall-gateway/src/main/java/com/cskaoyan/mall/gateway/filter/AuthFilter.java
• 类与方法：AuthFilter#filter

1
ServerHttpRequest.Builder builder =
2
        request.mutate();
3

4
if (StringUtils.isNotBlank(userId)) {
5
    builder.header("userId", userId);
6
}

只有 hasLogin 返回非空 userId 时，Gateway 才主动写入认证身份。

5.2 写入 userTempId#

1
String userTempId =
2
        request.getHeaders().getFirst("userTempId");
3

4
if (StringUtils.isBlank(userTempId)) {
5
    HttpCookie cookie =
6
            request.getCookies()
7
                    .getFirst("userTempId");
8

9
    if (cookie != null) {
10
        userTempId = cookie.getValue();
11
    }
12
}
13

14
if (StringUtils.isNotBlank(userTempId)) {
15
    builder.header("userTempId", userTempId);
16
}

最后必须把变更后的 request 放回 exchange：

1
ServerHttpRequest newRequest = builder.build();
2

3
ServerWebExchange newExchange =
4
        exchange.mutate()
5
                .request(newRequest)
6
                .build();
7

8
return chain.filter(newExchange);

如果只构造 newRequest，却仍把原 exchange 传给 chain.filter，下游就看不到新 Header。当前代码正确地传递了 newExchange。