如何使用基于Scope的@PreAuthorize保护spring-security-oauth资源？

Question

我成功配置了spring-security-
oauth2，以便外部应用程序可以通过我的应用程序进行身份验证。但是，基于外部应用程序以及基于用户允许的内容，客户端只能访问我的API的子集。可用子集由OAuth范围确定。

在经典的Spring应用程序中，我可以使用@PreAuthorize来基于角色强制执行边界：

@Controller
public class MyController {
  @PreAuthorize("hasRole('admin')")
  @RequestMapping("...")
  public String doStuff() {
    // ...
  }
}

在使用OAuth并结合作用域而不是角色时，我该怎么做？

Answer 1

Spring
OAuth随附了OAuth2MethodSecurityExpressionHandler，该类增加了使用@PreAuthorize表达式进行此类检查的功能。您需要做的就是注册该类，例如，如果您使用的是Javaconfig，则像这样：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public static class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {
    @Override
    protected MethodSecurityExpressionHandler createExpressionHandler() {
        return new OAuth2MethodSecurityExpressionHandler();
    }
}

现在您可以简单地使用：

@PreAuthorize("#oauth2.hasScope('requiredScope')")

保护您的请求方法。要查看还可以使用哪些其他方法，请hasScope检查类OAuth2SecurityExpressionMethods。

缺点是OAuth2MethodSecurityExpressionHandler扩展了DefaultMethodSecurityExpressionHandler，因此您无法将其与也扩展该类的其他类组合。

或者，您也可以将OAuth范围映射到经典用户角色。