面试题：Kotlin的Ktor框架中如何实现安全的认证与授权

Question

在Kotlin与Ktor框架构建的REST API项目中，为了保证API的安全性，需要实现用户认证与授权功能。请阐述如何利用Ktor框架的特性来实现基于JWT（JSON Web Token）的认证机制，以及如何根据不同的用户角色进行授权，限制对特定API端点的访问。请给出关键代码示例及解释。

Answer 1

1. 添加依赖： 在build.gradle.kts文件中添加Ktor和JWT相关依赖：

   dependencies {
       implementation("io.ktor:ktor-server-core:2.3.2")
       implementation("io.ktor:ktor-server-auth:2.3.2")
       implementation("io.ktor:ktor-server-auth-jwt:2.3.2")
       implementation("io.jsonwebtoken:jjwt-api:0.11.2")
       runtimeOnly("io.jsonwebtoken:jjwt-impl:0.11.2")
       runtimeOnly("io.jsonwebtoken:jjwt-jackson:0.11.2")
   }
   

2. 配置JWT认证： 在Application.kt中配置JWT认证：

   import io.ktor.server.auth.*
   import io.ktor.server.auth.jwt.*
   import io.jsonwebtoken.Claims
   import io.jsonwebtoken.Jwts
   import io.jsonwebtoken.SignatureAlgorithm
   import io.jsonwebtoken.security.Keys
   
   val key = Keys.secretKeyFor(SignatureAlgorithm.HS256)
   val issuer = "yourIssuer"
   
   fun Application.configureJwtAuth() {
       install(Authentication) {
           jwt {
               verifier(Jwts.parserBuilder()
                  .setSigningKey(key)
                  .requireIssuer(issuer)
                  .build())
               validate { credential ->
                   if (credential.payload.getSubject()!= null) {
                       JWTPrincipal(credential.payload)
                   } else {
                       null
                   }
               }
           }
       }
   }
   

   解释：
   • 首先生成一个用于签名的密钥key和设置发行人issuer。
   • install(Authentication)安装认证模块。
   • jwt配置JWT认证，verifier用于验证JWT的签名和发行人等信息，validate用于验证JWT的负载内容，确保subject不为空并返回JWTPrincipal。
3. 生成JWT： 生成JWT的函数示例：

   fun generateJwtToken(subject: String, roles: List<String>): String {
       val claims = Claims()
       claims["roles"] = roles
       return Jwts.builder()
          .setSubject(subject)
          .setIssuer(issuer)
          .setClaims(claims)
          .signWith(key, SignatureAlgorithm.HS256)
          .compact()
   }
   

   解释：
   • 此函数接受subject（通常是用户名等标识）和roles（用户角色列表）。
   • 在Claims中设置roles，然后构建JWT，设置发行人、主题，签名并返回紧凑的JWT字符串。
4. 基于角色的授权： 配置路由并进行基于角色的授权：

   fun Application.configureRouting() {
       configureJwtAuth()
       routing {
           authenticate {
               get("/admin-only") {
                   val principal = call.principal<JWTPrincipal>()
                   val roles = principal?.getClaim("roles", List::class.java) as? List<String>
                   if (roles?.contains("admin") == true) {
                       call.respondText("This is an admin - only endpoint.")
                   } else {
                       call.respond(HttpStatusCode.Forbidden, "You are not authorized to access this endpoint.")
                   }
               }
           }
       }
   }
   

   解释：
   • authenticate确保请求带有有效的JWT。
   • 在/admin - only路由中，获取JWT的principal，从principal中提取roles。
   • 如果roles中包含admin，则允许访问并返回相应信息；否则返回403 Forbidden错误。