带有祖尔代理的Spring SecurityOau2 SSO

Question

我正在修改Springs优秀安全教程中的oauth2香草样本。oauth2-vanilla将Zuul代理和UI组合成一个应用程序。我想分离Zuul代理和UI。（Zuul代理应充当API网关和多个UI的反向代理）。

当通过zuul代理访问UI时，它应该能够在UI和资源后端之间基于Oauth2进行SSO。

oauth2香草看起来像这样

我想转移到这样的地方：

我已经从网关中移除了ui部分，并为UI添加了一个zuul路由

zuul:
  routes:
    resource:
      url: http://localhost:9000
    user:
      url: http://localhost:9999/uaa/user
    ui:
      url: http://localhost:8080

我创建了一个新的UI webapp，它包含带有< code>@EnableOAuth2Sso注释的UI (Angular stuff)。

所以我通过http://localhost:8888（通过zuul代理）。通过UI流进行身份验证和操作后，我可以访问/userendpoint，该endpoint将返回用户。（在调试期间，我看到当我访问/userendpoint时，我有一个带有OAuth2Authentication的HTTP会话。

然而，当我访问/resourceendpoint时，HttpSessionSecurityContextRepository找不到会话，并且无法使用oauth 2身份验证构建上下文。

我用修改后的示例创建了一个git存储库。

我猜网关配置有问题。我已经尝试改变cookie路径，改变代理中的HttpSecurity规则，但是我不能让它工作。

我不明白的是，为什么通过代理访问 UI 时能够很好地解析 /user endpoint（使用 HTTP 会话和 OAuth2Authentication），但它无法访问 /resource endpoint。

此外，由于UI现在在/用户界面上下文中运行，因此我似乎需要在网关中使用以下代码才能加载角度css/js文件。

.antMatchers("/ui/index.html", "/ui/home.html", "ui/css/**", "/ui/js/**").permitAll().anyRequest().authenticated();

我需要用zuul用户界面路由作为前缀似乎也不对。

任何帮助将不胜感激。

Answer 1

我始终无法让@EnableOauthSso工作。相反，我注释为@EnableResourceServer，并为Zuul创建了一个安全配置。

@Configuration
@EnableResourceServer
public class JwtSecurityConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/oauth/**").permitAll()
            .antMatchers("/**").hasAuthority("ROLE_API")
            .and()
            .csrf().disable();
    }
}