Spring Cloud Feign如何实现JWT令牌中继以传递认证信息

令牌难道不能在Feign自动中继吗?

如果我们携带Token去访问A服务，A服务肯定能够鉴权，但是A服务又通过Feign调用B服务，这时候A的令牌是无法直接传递给B服务的。

这里来简单说下原因，服务间的调用通过Feign接口来进行。在调用方通常我们编写类似下面的Feign接口：

@FeignClient(name = "foo-service",fallback = FooClient.Fallback.class) 
public interface FooClient { 
    @GetMapping("/foo/bar") 
    Rest> bar(); 
 
    @Component 
    class Fallback implements FooClient { 
        @Override 
        public Rest> bar() { 
            return RestBody.fallback(); 
        } 
    } 
} 

当我们调用Feign接口后，会通过动态代理来生成该接口的代理类供我们调用。如果我们不打开熔断我们可以从Spring Security提供SecurityContext对象中提取到资源服务器的认证对象JwtAuthenticationToken，它包含了JWT令牌然后我们可以通过实现Feign的拦截器接口RequestInterceptor把Token放在请求头中，伪代码如下：

 
static class BearerTokenRequestInterceptor implements RequestInterceptor { 
        @Override 
        public void apply(RequestTemplate template) { 
            final String authorization = HttpHeaders.AUTHORIZATION; 
            Authentication authentication = SecurityContextHolder.getContext().getAuthentication(); 
             
            if (authentication instanceof JwtAuthenticationToken){ 
                JwtAuthenticationToken jwtAuthenticationToken = (JwtAuthenticationToken) authentication; 
                String tokenValue = jwtAuthenticationToken.getToken().getTokenValue(); 
                template.header(authorization,"Bearer "+tokenValue); 
            } 
        } 
    } 

如果我们不开启熔断这样搞问题不大，为了防止调用链雪崩服务熔断基本没有不打开的。这时候从SecurityContextHolder就无法获取到Authentication了。因为这时Feign调用是在调用方的调用线程下又开启了一个子线程中进行的。由于我使用的熔断组件是Resilience4J,对应的线程源码在Resilience4JCircuitBreaker中：

Supplier> futureSupplier = () -> executorService.submit(toRun::get); 

SecurityContextHolder保存信息是默认是通过ThreadLocal实现的，我们都知道这个是不能跨线程的，而Feign的拦截器这时恰恰在子线程中，因此开启了熔断功能(circuitBreaker)的Feign无法直接进行令牌中继。

熔断组件有过时的Hystrix、Resilience4J、还有阿里的哨兵Sentinel，它们的机制可能有小小的不同。

实现令牌中继

虽然直接不能实现令牌中继，但是我从中还是找到了一些信息。在Feign接口代理的处理器FeignCircuitBreakerInvocationHandler中发现了下面的代码：

private Supplier