如何使用Spring OAuth2 JWT令牌？

Question

我们希望使用SpringOAuth2JWT令牌支持。我们的架构如下：Spring只提供了一个REST接口，前端由AngularJS构建，AngularJS查询Spring REST接口。出于授权目的，我们的前端团队希望使用JWT。因此，我查看了SpringOAuth2JWT支持，但仍然不知道如何与前端讨论JWT令牌。在阅读了一些教程后，我实现了以下内容：

@Autowired
@Qualifier("defaultAuthorizationServerTokenServices")
private DefaultTokenServices tokenServices;

public static void main(String[] args) {
    SpringApplication.run(Application.class, args); 
    //TODO comments
}

@Configuration
@EnableAuthorizationServer
protected static class OAuth2Config extends AuthorizationServerConfigurerAdapter {

    //@Autowired
    private AuthenticationManager authManager;

    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        return new JwtAccessTokenConverter();
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer oauthServer) throws Exception {
        oauthServer.tokenKeyAccess("isAnonymous() || hasAuthority('ROLE_TRUSTED_CLIENT')")
                   .checkTokenAccess("hasAuthority('ROLE_TRUSTED_CLIENT')"); 
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authManager).accessTokenConverter(accessTokenConverter());
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
        .withClient("my-trusted_client")
            .authorizedGrantTypes("password", "authorization_code", "refresh_token", "implicit")
            .authorities("ROLE_CLIENT", "ROLE_TRUSTED_CLIENT")
            .scopes("read", "write", "trust")
            .accessTokenValiditySeconds(60)
        .and()
        .withClient("my-client-with-registered-redirect")
            .authorizedGrantTypes("authorization_code")
            .authorities("ROLE_CLIENT")
            .scopes("read", "trust")
            .redirectUris("http://anywhere?key=value")
        .and()
        .withClient("my-client-with-secret")
            .authorizedGrantTypes("client_credentials", "password")
            .authorities("ROLE_CLIENT", "ROLE_TRUSTED_CLIENT")
            .scopes("read", "write")
            .secret("secret");
    }
}

我不确定工作流程如何。我猜：前端访问/oauth/authorizationendpoint以授权其令牌，然后Spring后端必须在每次请求资源时检查JWT令牌是否被授权访问资源？正当那么，当请求RESTendpoint时，如何让Spring检查令牌呢？我已经试过了

@RequestMapping("/projects")
@PreAuthorize("oauthClientHasRole('ROLE_CLIENT')")
public String getProjects() {
    return "";
}

但它似乎不起作用。

Answer 1

您可以查看新的spring云示例的sso示例。对我来说，这是一个最好的例子来了解它是如何做到的。

而且，一旦你了解了它，你就可以阅读这本教程，这本教程的技术性更强