企業級多租戶認證：Token 驗證實戰

@Autowired
private TokenService tokenService;

@Autowired
private TokenCache tokenCache;

@Override
protected void doFilterInternal(
HttpServletRequest request,
HttpServletResponse response,
FilterChain chain) throws Exception {

// 1. 從 Header 取得 Token
String token = extractToken(request);

if (token == null) {
sendError(response, “Missing token”);
return;
}

// 2. 驗證 Token（先查快取）
TokenInfo tokenInfo = tokenCache.get(token);
if (tokenInfo == null) {
tokenInfo = tokenService.validate(token);
if (tokenInfo != null) {
tokenCache.put(token, tokenInfo);
}
}

if (tokenInfo == null || tokenInfo.isExpired()) {
sendError(response, “Invalid or expired token”);
return;
}

// 3. 設定安全上下文
SecurityContext.set(tokenInfo);

try {
chain.doFilter(request, response);
} finally {
SecurityContext.clear();
}
}

private String extractToken(HttpServletRequest request) {
String header = request.getHeader(“Authorization”);
if (header != null && header.startsWith(“Bearer “)) {
return header.substring(7);
}
return null;
}
}

public List<Order> findOrders(OrderQuery query) {
// 從安全上下文取得當前商戶
TokenInfo token = SecurityContext.get();

if (token.isMerchant()) {
// 商戶只能查自己的資料
query.setMerchantId(token.getMerchantId());
}
// 平台角色可以查所有商戶（不加過濾條件）

return jdbcTemplate.query(
“SELECT * FROM orders WHERE merchant_id = ? AND …”,
query.getMerchantId(),
…
);
}
}

/**
* 強制失效單一 Token
*/
public void revokeToken(String tokenId) {
// 1. 從資料庫標記失效
tokenRepository.markRevoked(tokenId);

// 2. 從快取移除
tokenCache.invalidate(tokenId);

// 3. 發布失效事件（通知其他節點）
eventPublisher.publish(new TokenRevokedEvent(tokenId));
}

/**
* 強制登出商戶所有 Token
*/
public void revokeAllTokens(String merchantId) {
List<String> tokens = tokenRepository.findByMerchant(merchantId);
tokens.forEach(this::revokeToken);
}
}

// 需要 ORDER_READ 權限
@RequirePermission(“ORDER_READ”)
@GetMapping(“/api/orders”)
public List<Order> listOrders() {
return orderService.findOrders();
}

// 需要 ORDER_WRITE 權限
@RequirePermission(“ORDER_WRITE”)
@PostMapping(“/api/orders/{id}/ship”)
public Order shipOrder(@PathVariable String id) {
return orderService.ship(id);
}
}