网关层动态鉴权应前置到请求入口，采用OpenResty的access_by_lua实现JWT/OAuth2验证，具备低延迟、低资源占用、配置热更新及架构兼容优势；需完整校验JWT签名、时间窗口、aud/iss，并支持scope精确匹配与上下文透传。
网关层动态鉴权，核心在于把权限判断逻辑前置到请求入口，避免每个微服务重复实现。用 access_by_lua 在 OpenResty（Nginx + Lua）中做 JWT/OAuth2 验证，是一种轻量、高效、可热更新的方案，特别适合对性能敏感或已有 Nginx 生产环境的团队。
为什么选 access_by_lua 而非 Spring Cloud Gateway？
不是替代关系，而是场景适配：
- 低延迟要求高：Lua 运行在 Nginx worker 进程内，无 JVM 启动开销和 GC 停顿，校验 JWT 签名、过期时间、scope 字段等操作通常在 0.1–0.5ms 内完成
- 资源占用低：相比 Java 网关，内存常驻更少，适合边缘节点或容器资源受限环境
- 配置即代码：权限规则（如路径 /api/user/** → 需要 scope:user:read）可写在 Lua 脚本或外部 JSON 配置里，无需重启即可 reload
- 兼容现有架构：可在 Spring Cloud Gateway 前再加一层 OpenResty 做预鉴权，或直接替换 Java 网关承担基础认证职责
JWT 校验的关键 Lua 实现要点
不能只做 Base64 解码，必须完整验证 JWT 安全性：
Web Accessibility (WCAG 2 AA))
下载
将 WCAG 2 AA 无障碍标准应用于设计系统、UI 组件和网页——通过可运行的验证器进行对比度计算，采用设计 token 模式使颜色天生可访问，设定排版和焦点状态规则，并提供语义检查清单。适用于构建或审查 UI。
-
签名验证：使用
resty.jwt库（推荐 lua-resty-jwt v0.2.7+），传入公钥（RSA）或共享密钥（HS256），拒绝签名无效的 token -
时间窗口检查：严格校验
iat（签发时间）、nbf（生效时间）、exp（过期时间），注意 Nginx 服务器时钟需与认证服务同步（建议启用 NTP） -
aud 和 iss 校验：确认 token 的受众（
aud）包含当前网关标识，签发方（iss）为可信认证服务地址 -
预留扩展钩子：例如解析出
user_id或roles后，调用后端权限服务（如 Redis ACL 缓存或轻量 HTTP 接口）查具体接口权限，避免所有权限信息都塞进 JWT
OAuth2 场景下的适配策略
若认证服务返回的是标准 OAuth2 Bearer Token（非 JWT），access_by_lua 本身不支持远程 introspect，需折中处理：
- 优先转 JWT：推动认证中心统一签发 JWT 格式 access_token，这是最简洁的落地方式
-
本地缓存 introspect 结果：首次收到非 JWT token，用
http模块同步调用 /oauth2/introspect，将有效载荷（含 scope、client_id、exp）缓存在 shared dict，设置 TTL 略小于 token 剩余有效期 -
scope 精确匹配：比如请求路径
/api/order/create要求scope:order:write，脚本中应做字符串前缀或白名单比对，而非简单包含判断 - 区分 public client 与 confidential client：对 client_credentials 流程获取的 token，可限制仅允许访问 /actuator/** 或内部服务接口，禁止访问用户数据类路径
动态权限路由与上下文透传
鉴权通过后，不只是放行，还要为下游服务准备可用信息：
-
清理敏感头：移除原始
Authorization头，防止下游误用或泄露 -
注入可信身份头：添加
X-User-ID、X-Roles、X-Scopes等只读头，下游服务可直接信任并用于业务逻辑 -
按租户/环境路由：从 JWT 中提取
tenant_id或env字段，结合balancer_by_lua动态选择对应集群的 upstream -
错误响应标准化：401 返回
{"code":401,"msg":"Unauthorized","data":null}；403 补充拒因，如"reason":"missing_scope:api:admin"
