KeyCloak和Spring Boot：会话创建策略

Question

我尝试用Spring Boot amd配置Key斗篷，我想使用自定义Key斗篷登录页面来获取访问令牌。然后我想把这个令牌传递给我的微服务中的restendpoint。我的Spring应用程序正在端口8081上运行。我在KeyClope管理控制台中设置有效重定向为http://localhost:8081/*。现在，在将登录jsessionid添加到url后的重定向过程中（看起来是这样的http://localhost:8081/;jsessionid=session_id），我遇到异常：

org.springframework.security.web.firewall.RequestRejectedException: The request was rejected because the URL contained a potentially malicious String ";"

从Spring Security配置中删除后，会话创建策略（SessionCreation策略。STATELESS）它被重定向到有效的url，但KEYCLOAK_IDENTITY和KEYCLOAK_SESSION未在浏览器存储中设置。我想为为什么它这样工作，什么是正确的方式来配置它？

Spring Security配置的一部分：

  @Override
  protected void configure(HttpSecurity http) throws Exception {
    super.configure(http);
    http.
        csrf().disable()
        .sessionManagement()
        .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .sessionAuthenticationStrategy(sessionAuthenticationStrategy())
        .and()
        .authorizeRequests()
        .anyRequest()
        .fullyAuthenticated();
  }

Answer 1

如果您将KeyCloak示例Spring引导应用程序app-auth-springboot和keyCloak服务器一起在localhost上运行-你会发现，事实上，它在与IDM的身份验证阶段使用cookieKEYCLOAK_IDENTITY和KEYCLOAK_SESSION。您的应用程序不需要这些cookie，但由于所有内容都在您的localhost上运行，您将在“localhost”域下看到它们。登录后，您可以安全地从存储中删除它们，并注意到您的应用程序运行顺利。

对于实际部署，您的IDM和应用程序将位于不同的域中，您将看不到这些cookie。您的申请不需要它们。实际上，您只需要JSESSIONID。