Как получить токен JWT в архитектуре BFF Spring Webflux

Я реализовал архитектуру Backend for Frontend (BFF) с помощью Spring Webflux, используя фильтр TokenRelay. Мой интерфейс взаимодействует с BFF с помощью файла cookie в качестве механизма аутентификации, а BFF получает токен JWT от Cognito (или сохраняется в сеансе Spring, не уверен. Для меня это волшебство) и отправляет его в заголовке на серверы ресурсов. Здесь узел BFF работает как конфиденциальный клиент oauth2, и браузеру не нужно хранить какой-либо токен JWT или что-то подобное.

Это делается прозрачно для меня как разработчика. Он настроен правильно и работает без проблем. Если я делаю запрос к https://bff-url/api/users/{user-id} из внешнего интерфейса, он работает, автоматически перенаправляясь на микросервис пользователей и прикрепляя токен в заголовок.

Однако давайте рассмотрим конечную точку, которой нет ни на одном ресурсном сервере (микросервисе). Эта конечная точка находится в BFF.

Этот URL-адрес конечной точки — https://bff-url/api/auth/me. Я определил следующим образом:

@RestController
@RequestMapping("/api/auth")
public class CurrentUserController {

public CurrentUserController() {
}

@GetMapping("/me")
@ResponseBody
public Mono<UserResponseDTO> getCurrentUser(Authentication authentication) {
    String userId = ((DefaultOidcUser)authentication.getPrincipal()).getClaim("custom:userId");
    // TODO call to users service users with this userId
    return Mono.empty();
  }
}

Я просто хочу получить идентификатор из сеанса (я его получаю) и вызвать службу пользователей, как обычно. Я не знаю, какой подход лучше всего сделать:

• Каким-то образом получить токен и внедрить WebClient для совершения вызова. Проблема в том, что мне не удалось получить этот токен из файла cookie. У меня есть сеанс Redis, который содержит идентификатор токена с некоторой информацией об открытом идентификаторе, но не сам токен JWT.
• Попробуйте использовать какую-нибудь конфигурацию Spring, которая вводит в WebClient то же поведение, что и платформа при автоматическом применении ретрансляции токенов. Мне тоже не удалось этого получить, введенные мной веб-клиенты не отправляли волшебным образом токен доступа.

Я открыт для любого другого подхода в соответствии с рекомендациями Spring, поскольку я не эксперт Spring и, вероятно, что-то упускаю.