Simple Spring (полный фарш)

#настройки актуатора. Добавляет к приложению эндпойны по которым можно запросить доп инф о приложении #В нашем случае разрешаем все эндпойнты (.exposure.include=*) так как большая часть из них по умолч закрыта #https://www.baeldung.com/spring-boot-actuators management.endpoint.shutdown.enabled=true management.endpoints.web.exposure.include=* management.endpoint.health.show-details=always management.endpoint.health.group.custom.include=* management.endpoint.health.group.custom.show-components=always management.endpoint.health.group.custom.show-details=always

#настройки доступа к спринг-бут-админ серверу. #здесь имеет смысл настроить безопасный доступ к служебным эндпойнтам, #но нам это не требуется так как все наши приложения работают в безопасной зоне spring.boot.admin.client.url=http://localhost:8099

#секретные пароли для шифрования/расшифровки токенов доступа #по хорошему должны либо храниться в vault-хранилище, либо задваться при запуске приложения #хранить их в открытом виде - плохая идея auth.jwt.secret.access=super-secret-key- auth.jwt.secret.refresh=super-secret-key-

#локальные настрйоки для сервера авторизации #в частности бд где мы будем хранить пользователей и хэши их паролей  #h2 db spring.datasource.url: jdbc:h2:~/MYDB1;DB_CLOSE_DELAY=-1;DB_CLOSE_ON_EXIT=TRUE;AUTO_SERVER=TRUE #spring.datasource.url: jdbc:h2:mem:MYDB;DB_CLOSE_DELAY=-1;DB_CLOSE_ON_EXIT=TRUE spring.datasource.driverClassName: org.h2.Driver spring.datasource.username: sa spring.datasource.password: spring.jpa.database-platform: org.hibernate.dialect.H2Dialect #http://localhost:8080/h2-console spring.h2.console.enabled=true

Обратите внимание, что вы разрешили доступ к веб-консоли h2-бд для удобства разработки.

#просто некоторая настройка на которой ниже покажем возможность обновления настроек без перезагрузки приложения myValue=ttttt2

#Настройки hibernate  # Выключаем предварительную инициализацию бд. О spring.datasource.initialization-mode=never spring.jpa.defer-datasource-initialization = false spring.sql.init.mode = never  #устанавливаем кодировку по умочанию spring.datasource.sql-script-encoding= UTF-8 spring.sql.init.encoding = UTF-8  # Если потребуется отладка сформирвоанных hiberate sql-запросов то расскоментарите строчки ниже #spring.jpa.show-sql=true #spring.jpa.properties.hibernate.format_sql=true #logging.level.org.hibernate.SQL=DEBUG #logging.level.org.hibernate.type.descriptor.sql.BasicBinder=TRACE  #включим ленивую загрузку сущностей. То есть хибернейт не будет загружать связанные сущности пока они не потребуются spring.jpa.properties.hibernate.enable_lazy_load_no_trans=true  #дадим хибернейту возможность самому создавать (или дополнять) структуру бд при старте согласно описанным сущностям spring.jpa.hibernate.ddl-auto=update

#swagger #http://localhost:8080/api-docs #http://localhost:8080/api-docs.yaml #http://localhost:8080/swagger-ui/index.html springdoc.api-docs.enabled=true springdoc.swagger-ui.enabled=true springdoc.swagger-ui.path=swagger-ui.html springdoc.api-docs.path=/api-docs

#локальные настройки для приложения WebApplication  #если истина, то авторизация включена, иначе - выключена auth.enabled=true  # inout answer on ResponseStatusException server.error.include-message=always  #h2 db #spring.datasource.url: jdbc:h2:~/MYDB;DB_CLOSE_DELAY=-1;DB_CLOSE_ON_EXIT=TRUE;AUTO_SERVER=TRUE spring.datasource.url: jdbc:h2:mem:MYDB;DB_CLOSE_DELAY=-1;DB_CLOSE_ON_EXIT=TRUE spring.datasource.driverClassName: org.h2.Driver spring.datasource.username: sa spring.datasource.password: spring.jpa.database-platform: org.hibernate.dialect.H2Dialect #http://localhost:8080/h2-console spring.h2.console.enabled=true  ## MULTIPART (MultipartProperties) # Enable multipart uploads spring.servlet.multipart.enabled=true # Threshold after which files are written to disk. spring.servlet.multipart.file-size-threshold=2KB # Max file size. spring.servlet.multipart.max-file-size=200MB # Max Request Size spring.servlet.multipart.max-request-size=215MB

#локальные настройи для приложения WebSecurityApplication  #создадим для спринг-серкьютрити пользователя и пароль по умолчанию. Нигде не будем использовать их spring.security.user.name=u2 spring.security.user.password=p2

package ru.auth.service;  import com.auth0.jwt.interfaces.DecodedJWT;  import java.util.List;  /**Генерация jwt-токена для клиента*/ public interface TokenService {     String generateAccessToken(String clientId, String audience, String roles);     String generateRefreshToken(String clientId, String audience);      Boolean checkAccessToken(String accessToken);     Boolean checkRefreshToken(String refreshToken);     DecodedJWT decodeRefreshToken(String refreshToken);      } 

package ru.auth.service;  import com.auth0.jwt.JWT; import com.auth0.jwt.JWTVerifier; import com.auth0.jwt.algorithms.Algorithm; import com.auth0.jwt.exceptions.JWTVerificationException; import com.auth0.jwt.interfaces.DecodedJWT; import lombok.extern.slf4j.Slf4j; import org.springframework.beans.factory.annotation.Value; import org.springframework.stereotype.Service;  import java.time.Instant; import java.time.temporal.ChronoUnit; import java.util.Date; import java.util.List;  @Service @Slf4j public class DefaultTokenService implements TokenService {     @Value("${auth.jwt.secret.access}")     private String secretAccessKey;     @Value("${auth.jwt.secret.refresh}")     private String secretRefreshKey;       /**Сгенерировать токен для клиента      * @param clientId - клиент для которого генерируем токен      * @param secretKey - секретный ключ на основе которого будем его генерировать      * @param minuts - через сколько минут истечёт срок действия токена      * @param audience - для какой системы генерируем токен      * @param roles - список ролей доступных текущему пользователю для данной системы чере запятую      * @return - сгенерированный токен      *  */     private String generateToken(String clientId, String secretKey, Long minuts, String audience, String roles) {         Algorithm algorithm = Algorithm.HMAC256(secretKey);          Instant now = Instant.now();         Instant exp = now.plus(minuts, ChronoUnit.MINUTES);          return JWT.create()                 .withIssuer("auth-service") //кто создал токен                 .withClaim("roles",roles)  //с какими ролями                 .withAudience(audience) //для какого приложения (сервиса-ресурсов)                 .withSubject(clientId) //идентификатор клиента. Обычно это его почта или номер телефона                 .withIssuedAt(Date.from(now))//когда был создан токен                 .withExpiresAt(Date.from(exp)) //когда он истечёт                 .sign(algorithm);     }      @Override     public String generateAccessToken(String clientId, String audience, String roles) {         return generateToken(clientId, secretAccessKey, 5L, audience, roles);     }      @Override     public String generateRefreshToken(String clientId, String audience) {         return generateToken(clientId, secretRefreshKey, 666L, audience, null);     }       /**Сгенерировать токен для клиента      * @param token - проверяемый токен      * @param secretKey - секретный ключ которым он был закодирован      * @return - истина, если токен валиден и ложь если не валиден*/     private boolean checkToken(String token, String secretKey) {         Algorithm algorithm = Algorithm.HMAC256(secretKey);         JWTVerifier verifier = JWT.require(algorithm).build();          try {             DecodedJWT decodedJWT = verifier.verify(token);             return true;         } catch (JWTVerificationException e) {             log.error("Token is invalid: " + e.getMessage());             return false;         }     }      /**Декодировать токен      * @param refreshToken - рефреш-токен      * @return - декодированный токен или исключение*/     @Override     public DecodedJWT decodeRefreshToken(String refreshToken) {         Algorithm algorithm = Algorithm.HMAC256(secretAccessKey);         JWTVerifier verifier = JWT.require(algorithm).build();         return verifier.verify(refreshToken);     }      @Override     public Boolean checkAccessToken(String accessToken) {         return checkToken(accessToken, secretAccessKey);     }      @Override     public Boolean checkRefreshToken(String refreshToken) {         return checkToken(refreshToken, secretRefreshKey);     } } 

package ru.auth.db.entity;  import jakarta.persistence.*; import lombok.AllArgsConstructor; import lombok.Data; import lombok.NoArgsConstructor;  @Data @NoArgsConstructor @AllArgsConstructor @Entity @Table(name = "clients", indexes = {         @Index(name = "clientId_audience", columnList = "clientId, audience", unique = true) //добавим индекс в таблицу для быстрого поиска }) /**Сущность для хранения польователей*/ public class ClientEntity {     @Id     @GeneratedValue(strategy = GenerationType.IDENTITY)     private Long id;      /**УИД-клиента или его псевдоним*/     private String clientId;      /**Его роли в рамках данной audience через запятую*/     private String roles;      /**Система для которой клиенту предоставлен доступ под нужной ролью*/     private String audience;      /**Хэш его пароля*/     private String hash; } 

package ru.auth.db.repository;  import org.springframework.data.repository.CrudRepository; import ru.auth.db.entity.ClientEntity;  import java.util.Optional;  public interface ClientRepository extends CrudRepository<ClientEntity, String> {     Optional<ClientEntity> findByClientIdAndAudience(String clientId, String audience); //из интересного здесь разве только этот запрос к бд код которого сгененрирует хибернейт по имени метода } 

package ru.auth.api.dto;  import lombok.Value;  /**Дто для запросоу аутентификации*/ @Value public class AuthRequestDto {     String clientId;     String audience;     String clientSecret; } 

package ru.auth.api.dto;  import lombok.*;  /**Дто для ответа на запрос аутентифиакции*/ @Value public class AuthResponseDto {     private final String type = "Bearer";     String accessToken;     String refreshToken; } 

package ru.auth.api.dto;  import lombok.Value;  /**Дто для ошибочного ответа*/ @Value public class ErrorResponseDto {     String message; }

package ru.app.db.service;  import jakarta.annotation.PostConstruct; import jakarta.persistence.EntityManager; import jakarta.persistence.PersistenceContext; import lombok.Getter; import lombok.RequiredArgsConstructor; import lombok.SneakyThrows; import lombok.extern.slf4j.Slf4j; import org.hibernate.Session; import org.hibernate.proxy.HibernateProxy; import org.springframework.beans.factory.annotation.Value; import org.springframework.stereotype.Service; import org.springframework.transaction.annotation.Transactional; import ru.app.db.entity.AbstractEntity;  import java.util.List;  /**Сервис работы с сущностями в ДБ */ @Service @Slf4j @RequiredArgsConstructor @Getter public class EntityService {     @PersistenceContext     private EntityManager em;      public static EntityService self;      /**Истина - жёсткое удаления, ложь - мягкое удаление*/     @Value("${app.delete-is-true:false}")     private boolean deleteIsTrue;      @PostConstruct     public void postConstructor(){         self=this;     }      /**      * Получить ссылку на сущность по её уид-у (можно исп для проверки существования сущности)      *      * @param id          - уид сущности      * @param entityClass - класс искомой сущности      * @return - сущность или null, если сущности не существует      */     public <A extends AbstractEntity> A getReferenceForId(Class<A> entityClass, Long id){         /*Hibernate не выполняет SQL-запрос, когда вы вызываете метод getReference.         Если сущность не является управляемой, Hibernate инстанцирует прокси-объект и инициализирует атрибут первичного ключа          Это очень похоже на неинициализированную ассоциацию с ленивой загрузкой, которая тоже дает вам прокси-объект.         В обоих случаях устанавливаются только атрибуты первичного ключа. Как только вы попытаетесь получить доступ к первому же атрибуту, не являющемуся первичным ключем, Hibernate выполнит запрос к базе данных, чтобы получить все атрибуты.         Это также первый раз, когда Hibernate проверит, существует ли указанный объект сущности. Если выполненный запрос не возвращает ожидаемого результата, Hibernate генерирует исключение         * */         return em.getReference(entityClass, id);     }      /**      * Получить сущность по её уид-у      *      * @param id          - уид сущности      * @param entityClass - класс искомой сущности      * @return - сущность      */     @SuppressWarnings("unchecked")     @SneakyThrows     public <A extends AbstractEntity> A findById(Class<A> entityClass, Long id) {         try {             A e = (A) em.createQuery("from " + entityClass.getSimpleName() + " where id=" + id.toString()).getSingleResult();             return e;         } catch (Exception ex) {             log.error("No find entity for id"+id, ex);             return null;         }     }      /**      * Получить набор сущностей по условию      *      * @param hql           - запрос со всеми условиями      * @param startPosition - с какой записи получать      * @param maxResult     - по какую запись получить      * @param entityClass   - класс искомой сущности      * @return - сущность      */     @SuppressWarnings("unchecked")     @SneakyThrows     public <A extends AbstractEntity> List<A> findByAllFromConditionals(Class<A> entityClass, String hql, Integer startPosition, Integer maxResult) {         if (hql.toLowerCase().contains("insert") || hql.toLowerCase().contains("update"))             throw new RuntimeException("bad sql request: "+hql);          if (startPosition == null) startPosition = 0;         if (maxResult == null) maxResult = Integer.MAX_VALUE;         try {             log.info(hql);             List<A> list = em.createQuery("select distinct e "+hql, entityClass).setFirstResult(startPosition).setMaxResults(maxResult).getResultList();             return list;         } catch (Exception ex) {             log.error("Error select for: " + hql, ex);             throw ex;         }     }      /**      * Получить количество сущностей в выбранном наборе согласно условиям      *      * @param hql - запрос со всеми условиями      * @return - общее количество выбранных сущностей      */     @SuppressWarnings("unchecked")     @SneakyThrows     public <A extends AbstractEntity> Integer findByAllFromConditionalsCount(String hql) {         if (hql.toLowerCase().contains("insert") || hql.toLowerCase().contains("update"))             throw new RuntimeException("bad sql request: "+hql);          int i=hql.indexOf("order");         if (i>0)             hql=hql.substring(0, i);         try {             return Integer.parseInt(em.createQuery("select count(distinct e) " + hql).getSingleResult().toString());         } catch (Exception ex) {             log.error("Error count select for: " + hql, ex);             throw ex;         }     }       /**      * Сохранить сущность в бд      *      * @param entity - сохраняемая сущность      * @return - сохранённую сущность (мб добавить ай-ди или другие поля)      */     @SneakyThrows     @Transactional     public <S extends AbstractEntity> S save(S entity) {         entity.beforeSave();         if (entity.getId() == null) em.persist(entity);         else entity=em.merge(entity);          return entity;     }      /**Удаляем запись. Удаление или настоящее, или псевдо-удаление в зависимости от настроек*/     @Transactional     public void delete(AbstractEntity entity) {         entity.beforeDelete();          //em.remove(em.contains(entity) ? entity : em.merge(entity));//delete entity          if (deleteIsTrue)             em.remove(em.contains(entity) ? entity : em.merge(entity));//hard delete entity         else{//soft delete             entity.setDeleted(true);             //todo: надо добавить также удаление всех связанных сущностей согласно CascadeType             /*также для реализации "мягкого" удаления можно использовать аннотации вида             @SQLDelete(sql = "update Worker_Entity set deleted=true where id=?") но тогда имя таблицы приходится задавать как константу             @SoftDelete(columnName = "deleted") но тогда нельзя использовать lazy-стратегии загрузки связанных сущностей*/             save(entity);         }     }      /**Получить класс сущности по её текствому имени посредством поиска во всех сущностях      * @param entityClassName - имя класса сущности      * @return - класс сущности*/     public Class<? extends AbstractEntity> getEntityClassForName(String entityClassName){         var entityImpl =em.getMetamodel().getEntities().stream().filter(elem -> elem.getName().equals(entityClassName)).findFirst().orElseThrow(()-> new RuntimeException("no find entity class with class name is "+entityClassName));         return (Class<? extends AbstractEntity>) entityImpl.getJavaType();     }      /**      * Когда мы получаем вложенную сущность через ленивую загрузку, иногда приходится принудительно инициализировать её поля. Новый запрос в БД не идёт      *      * @param ae - потомок AbstractEntity, вложенная сущность полученная через ленивую загрузку      * @return - та же сущность, но с инициализированными полями      */     @SuppressWarnings("unchecked")     public static <R extends AbstractEntity> R lazyInitializer(R ae) {         if (ae != null)             if (ae.id == null)                 if (ae.getId() != null)                     return (R) ((HibernateProxy) ae).getHibernateLazyInitializer().getImplementation(); //если по каким-то причинам поле не было извлечено, то извлечём его принудительно                 else return null;             else return ae;         return null;     }  } 

Хранит настройки приложения. Доступен в статическом контексте

/**Классс свойств*/ @Component @Getter @FieldDefaults(level = AccessLevel.PRIVATE) public class AppProperties {     /**УИД-приложения*/     @Value("${spring.application.name:none}")     String appName;      /**Включена ли аутентификация*/     @Value("${auth.enabled:true}")     private Boolean enabled;      public static AppProperties self;      @PostConstruct     public void postConstruct(){         self=this;     }  }

package ru.app.config;  import io.swagger.v3.oas.annotations.OpenAPIDefinition; import io.swagger.v3.oas.annotations.enums.SecuritySchemeIn; import io.swagger.v3.oas.annotations.enums.SecuritySchemeType; import io.swagger.v3.oas.annotations.info.Contact; import io.swagger.v3.oas.annotations.info.Info; import io.swagger.v3.oas.annotations.security.SecurityScheme;  //https://struchkov.dev/blog/ru/api-swagger/  //описание свагерра @OpenAPIDefinition(         info = @Info(                 title = "Тестовое Api",                 description = "Пример описания АПИ",                 version = "1.0.0",                 contact = @Contact(                         name = "Иван Иванов",                         email = "ivan@ivanov.ruv",                         url = "https://ivan.ivanov.ru"                 )         ) ) //авторизация которую должен исп сваггер @SecurityScheme(         name = "JWT",         type = SecuritySchemeType.HTTP,         bearerFormat = "JWT",         scheme = "bearer" ) /*@SecurityScheme(   //for spring security         name = "jsessionid",         type = SecuritySchemeType.APIKEY,         in = SecuritySchemeIn.COOKIE,         paramName = "JSESSIONID" )*/ public class SwaggerConfig { } 

Настроим конфигурацию так, чтобы она пропускала CORS-запросы (так как мы хотим работать с данным сервером-ресурсов через гейтвей)
Также иногда бывает полезно добавить перехватчик rest-запросов, например, для логирования запросов и ответов приложения

package ru.app.config;  import jakarta.servlet.http.HttpServletRequest; import jakarta.servlet.http.HttpServletResponse; import lombok.extern.slf4j.Slf4j; import org.springframework.context.annotation.Configuration; import org.springframework.web.servlet.HandlerInterceptor; import org.springframework.web.servlet.config.annotation.CorsRegistry; import org.springframework.web.servlet.config.annotation.InterceptorRegistry; import org.springframework.web.servlet.config.annotation.WebMvcConfigurer; import org.springframework.web.util.ContentCachingResponseWrapper;  import java.util.Enumeration;  @Configuration public class WebMvcConfig implements WebMvcConfigurer {      /**Разрешаем CORS для сваггера*/     @Override     public void addCorsMappings(CorsRegistry registry) {         registry.addMapping("/**");         //registry.addMapping("/api-docs"); //только для сваггера     }      /**Добавим свой перехватчик*/     @Override     public void addInterceptors(InterceptorRegistry registry) {         registry.addInterceptor(new LoggerInterceptor());     } }   //https://www.baeldung.com/spring-mvc-handlerinterceptor /**Создадим собственный перехватчик для возможности логирования входных и выходных запросов и пропишем его*/ @Slf4j class LoggerInterceptor implements HandlerInterceptor {     @Override     /**Как следует из названия, перехватчик вызывает preHandle() перед обработкой запроса.      По умолчанию этот метод возвращает true, чтобы отправить запрос дальше, к методу обработчика. Однако мы можем указать Spring остановить выполнение, вернув false.      Мы можем использовать хук для записи информации о параметрах запроса, например о том, откуда пришёл запрос.*/     public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {         log.info("[preHandle][" + request + "]" + "[" + request.getMethod() + "]" + request.getRequestURI() + getParameters(request));         return true;     }      @Override     /**Мы можем использовать этот метод для получения данных запроса и ответа после отображения представления*/     public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {         if (ex != null){             ex.printStackTrace();         }          log.info("[afterCompletion][" + request + "][exception: " + ex + "] => "+response);     }       private String getParameters(HttpServletRequest request) {         StringBuffer posted = new StringBuffer();         Enumeration<?> e = request.getParameterNames();         if (e != null) {             posted.append("?");         }         while (e.hasMoreElements()) {             if (posted.length() > 1) {                 posted.append("&");             }             String curr = (String) e.nextElement();             posted.append(curr + "=");             if (curr.contains("password")                     || curr.contains("pass")                     || curr.contains("pwd")) {                 posted.append("*****");             } else {                 posted.append(request.getParameter(curr));             }         }         String ip = request.getHeader("X-FORWARDED-FOR");         String ipAddr = (ip == null) ? getRemoteAddr(request) : ip;         if (ipAddr!=null && !ipAddr.equals("")) {             posted.append("&_psip=" + ipAddr);         }         return posted.toString();     }      private String getRemoteAddr(HttpServletRequest request) {         String ipFromHeader = request.getHeader("X-FORWARDED-FOR");         if (ipFromHeader != null && ipFromHeader.length() > 0) {             log.debug("ip from proxy - X-FORWARDED-FOR : " + ipFromHeader);             return ipFromHeader;         }         return request.getRemoteAddr();     } }

package ru.app.api.auth;  import com.auth0.jwt.interfaces.DecodedJWT; import jakarta.servlet.FilterChain; import jakarta.servlet.ServletException; import jakarta.servlet.http.HttpServletRequest; import jakarta.servlet.http.HttpServletResponse; import lombok.RequiredArgsConstructor; import org.springframework.beans.factory.annotation.Value; import org.springframework.http.HttpHeaders; import org.springframework.http.HttpMethod; import org.springframework.stereotype.Component; import org.springframework.web.context.request.RequestContextHolder; import org.springframework.web.filter.OncePerRequestFilter;  import java.io.IOException; import java.util.Arrays; import java.util.List;  /**Фильтр проверяющий ацесс-токен для авторизации который надо получать у auth-service если в настройках включена авторизация*/ @Component @RequiredArgsConstructor public class AuthorizationFilter extends OncePerRequestFilter {      private final TokenService tokenService;      @Value("${auth.enabled}")     private boolean enabled;      @Override     protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {         if (!enabled //здесь мы выбираем пропустить запрос без авторизации при определённых условиях                 || request.getMethod().equals(HttpMethod.OPTIONS.name())                 || request.getRequestURI().contains("/public/")                 || request.getRequestURI().contains("/h2-console")                 || request.getRequestURI().contains("/actuator")                 || request.getRequestURI().contains("/swagger-ui")                 || request.getRequestURI().contains("/api-docs")         ) {             filterChain.doFilter(request, response);             return;         }        //здесь, соответственно, мы требуем авторизацию. Если её нет - отказываем. Если есть - проверяем токен и если он валиден, то сохраняем список ролей пользователя в RequestContextHolder.getRequestAttributes().setAttribute         String authHeader = request.getHeader(HttpHeaders.AUTHORIZATION);          if (authHeader == null || authHeader.isBlank())             response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);         else {             DecodedJWT decodedJWT = checkAuthorization(authHeader);             if (decodedJWT==null)                 response.setStatus(HttpServletResponse.SC_FORBIDDEN);             else {                 //Авторизация прошла успешно                 //заполним контекст запроса                 //получать как RequestContextHolder.getRequestAttributes().getAttribute("roles", 0);                 RequestContextHolder.getRequestAttributes().setAttribute("clientId", decodedJWT.getSubject(), 0);                 RequestContextHolder.getRequestAttributes().setAttribute("roles", Arrays.stream(decodedJWT.getClaim("roles").asString().split(",")).toList().stream().map(String::trim).toList(), 0);                  filterChain.doFilter(request, response);             }         }     }      private DecodedJWT checkAuthorization(String auth) {         if (!auth.startsWith("Bearer "))             return null;          String token = auth.substring(7);         return tokenService.checkToken(token);     } } 

Обратите внимание что мы не требуем авторизации для некоторых служебных апи, а также для запросов типа OPTIONS

Для всех остальных запросов мы проверяем валидность токена. Если он валиден то сохраняем список ролей пользователя в контексте запроса RequestContextHolder

 @Slf4j public class AuthorizationService {     /**      * Проверит, что текущий пользователь имеет указанную роль или поднимет исключение      * Если код выполнялся от лица системы, то исключения не будет      */     public static void checkRole(String roleName) {         if (!AppProperties.self.getEnabled()){             log.info("authorization disabled");             return;         }          try {             String clientId = (String) RequestContextHolder.getRequestAttributes().getAttribute("clientId", 0);             List<String> roles = (List<String>) RequestContextHolder.getRequestAttributes().getAttribute("roles", 0);             Boolean result = roles.contains(roleName);             log.info("clientId={} with roles={} check roleName={} result is {}", clientId, roles, roleName, result);             if (!result)                 throw new RuntimeException("clientId=" + clientId + " no have role=" + roleName);          } catch (NullPointerException e) {             log.info("clientId={} with roles={} check roleName={} result is {}", "system", "[*]", roleName, true);         }     }       /**      * Проверит, что текущий пользователь имеет все указанные роли или поднимет исключение      * Если код выполнялся от лица системы, то исключения не будет      */     public static void checkRolesAnd(List<String> roles) {         roles.forEach(roleName -> checkRole(roleName));     }      /**      * Проверит, что текущий пользователь имеет хотя бы одну указанныю роль или поднимет исключение      * Если код выполнялся от лица системы, то исключения не будет      */     public static void checkRolesOr(List<String> roles) {         boolean result=false;         for (String roleName : roles)             try {                 checkRole(roleName);                 result=true;                 break;             } catch (RuntimeException re) {}         if (!result)             throw new RuntimeException("No find role in client for roles=" + roles);      } }

Соотвтетственно чтобы разрешить доступ к апи только пользователю с ролью ROLE_WEB мы пишем

    @GetMapping("/hello")     public AnswerDto hello(@RequestParam(required = false) String name) {         AuthorizationService.checkRole("ROLE_WEB");         return new AnswerDto().setData("Hello, " + name);     }

Аналогичным образом можно закрывать доступ в сервисах.
Можно оперировать несколькими ролями используя checkRolesAnd или checkRolesOr

/**Проверка токена полученного клиентом у AuthService-а*/ public interface TokenService {     /** Вернёт раскодирвоанный jwt-токен если он валиден или null если не валиден*/     DecodedJWT checkToken(String token); }   @Service @Slf4j @RequiredArgsConstructor public class DefaultTokenService implements TokenService {     @Value("${auth.jwt.secret.access}")     private String secretKey;     @Value("${spring.application.name}")     private String appName;      @Override     public DecodedJWT checkToken(String token) {         Algorithm algorithm = Algorithm.HMAC256(secretKey);         JWTVerifier verifier = JWT.require(algorithm).build();          try {             DecodedJWT decodedJWT = verifier.verify(token);             if (!decodedJWT.getIssuer().equals("auth-service")) {                 log.error("Issuer is incorrect");                 return null;             }              if (!decodedJWT.getAudience().contains(appName)) {                 log.error("Audience is incorrect");                 return null;             }              return decodedJWT;         } catch (JWTVerificationException e) {             log.error("Token is invalid: " + e.getMessage());             return null;         }     } }