授权在OAuth2客户端资源服务器的网关中不工作

Question

我在一个应用程序中使用以下依赖项：SpringCloudGateway、SpringBootOAuth2客户端、SpringBootOAuth2资源服务器。

我使用以下安全配置：

@Bean
public SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http, ReactiveClientRegistrationRepository clientRegistrationRepository) {
        
        http.oauth2Login();

        http.logout(logout -> logout.logoutSuccessHandler(
                new OidcClientInitiatedServerLogoutSuccessHandler(clientRegistrationRepository)));


        http.authorizeExchange()
                .pathMatchers("/actuator/health").permitAll()
                .pathMatchers("/auth/realms/ahearo/protocol/openid-connect/token").permitAll()
                .pathMatchers("/v3/api-docs").permitAll()
                .anyExchange().authenticated()
                .and()
                .oauth2ResourceServer()
                .jwt()
                .jwtAuthenticationConverter(userJwtAuthenticationConverter());

         http.csrf().disable().formLogin().disable().httpBasic().disable();
        return http.build();
}

@Bean
public UserJwtAuthenticationConverter userJwtAuthenticationConverter() {
    return new UserJwtAuthenticationConverter();
}

当我执行调用时，我被正确地建议登录，这很好。但有效的只是身份验证，而不是授权。使用调试器时，我可以看到从未调用userJwtAuthenticationConverter（）方法来使用JWT之外的角色。

当我在另一个应用程序/微服务中使用相同的方法时，它只是一个OAuth2资源服务器，而不是一个OAuth2客户端，该方法被正确地调用和执行。

应用程序中的安全配置。在Spring云网关应用程序中，yaml如下所示：

security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://localhost/auth/realms/example-realm
          jwk-set-uri: http://localhost/auth/realms/example-realm/protocol/openid-connect/certs
      client:
        registration:
          keycloak:
            client-id: 'example-proxy-client'
            client-secret: 'xxx'
            authorizationGrantType: authorization_code
            redirect-uri: '{baseUrl}/login/oauth2/code/{registrationId}'
            scope: openid,profile,email
        provider:
          keycloak:
            issuer-uri: http://localhost/auth/realms/example-realm
            user-name-attribute: preferred_username

SpringCloudGateway应用程序不可能同时作为OAuth2客户机和资源服务器运行吗？或者我在配置应用程序时犯了错误吗？

Answer 1

原来我误解了一些基本的OAuth2概念。当我在授权头（隐式流）中发送JWT时，授权本身工作正常。当我试图通过浏览器访问资源时，没有起作用。我被重定向到keydape（授权代码流）的登录页面。在您通过keydove的登录页面登录后，您不会收到JWT，而是一个keydove会话ID。Spring Cloud Gateway无法基于keydove会话ID执行授权（如果我想使用授权代码流，不知道该如何工作，但我使用的是隐式流，所以我现在还可以）。