2. 开发环境与生产环境鉴权差异：环境变量配置、模拟用户、跳过真实认证

在微服务与前后端分离架构中，鉴权拦截器在开发环境与生产环境面临截然不同的约束。生产环境要求严格验证 JWT、OAuth2 Token 或 Session，而开发环境若同样执行完整认证链路，会显著拖慢调试效率、增加依赖耦合。本章聚焦三大核心差异：环境变量驱动配置、模拟用户注入、跳过真实认证，并给出可落地的工程化方案。

2.1 环境变量驱动的鉴权开关

通过 application.yml 或系统环境变量控制鉴权行为，是区分开发/生产最直接的手段。核心思路：将鉴权拦截器是否启用、校验模式、白名单路径等参数外置化。

2.2 模拟用户注入机制

开发环境跳过真实认证后，拦截器需要为每个请求注入一个模拟用户上下文，确保下游业务代码能正常获取当前用户信息。常见实现方式：

• Header 注入：在网关或拦截器中添加 X-Mock-User: dev_admin 头，业务层通过 @RequestHeader 读取。
• ThreadLocal 上下文：拦截器将模拟用户对象写入 UserContextHolder，业务代码通过静态方法获取。
• Token 伪造：生成一个短期有效的 JWT，携带固定用户信息，仅用于开发环境。

2.3 跳过真实认证的三种策略

根据团队协作与测试需求，可选择以下策略之一或组合使用：

1. 完全跳过：拦截器直接放行所有请求，不执行任何 Token 校验。适用于纯前端调试或接口文档验证。
2. 白名单放行：仅对特定路径（如 /api/dev/**）跳过认证，其余路径仍校验。适用于混合环境。
3. 弱校验模式：校验 Token 格式但不验证签名与过期时间，仅提取用户 ID。适用于需要测试 Token 传递逻辑的场景。

2.4 开发环境鉴权流程对比

2.5 代码示例：基于环境变量的拦截器

@Component
public class AuthInterceptor implements HandlerInterceptor {

    @Value("${auth.enabled:true}")
    private boolean authEnabled;

    @Value("${auth.mock-user:anonymous}")
    private String mockUser;

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {
        if (!authEnabled) {
            // 开发环境：注入模拟用户
            UserContextHolder.setCurrentUser(new User(mockUser, "DEV_ROLE"));
            return true;
        }
        // 生产环境：执行真实 Token 校验
        String token = extractToken(request);
        if (!validateToken(token)) {
            response.setStatus(HttpStatus.UNAUTHORIZED.value());
            return false;
        }
        UserContextHolder.setCurrentUser(parseUserFromToken(token));
        return true;
    }
}

2.6 常见陷阱与避坑指南

• 陷阱1：模拟用户上下文未清理，导致线程池复用产生数据污染。解决方案：在 afterCompletion 中调用 UserContextHolder.clear()。
• 陷阱2：开发环境跳过鉴权后，遗漏对接口权限的测试。解决方案：在集成测试中单独启用生产环境配置，覆盖权限场景。
• 陷阱3：环境变量配置与代码逻辑耦合过紧，切换环境需重启。解决方案：使用配置中心（如 Nacos、Apollo）实现动态刷新。

2.7 开发环境鉴权配置清单