集成Spring Security OAuth2和Spring

Question

我正在使用一个Spring Boot+Spring Security OAuth2应用程序，我相信它的灵感来自Dave Syer的示例。应用程序被配置为OAuth2授权服务器，具有使用资源所有者密码凭据流的单个公共客户端。成功的令牌被配置为JWT。

公共Angular客户机向/oauth/token发送一个POST请求，该请求带有包含客户机id和秘密的基本身份验证头（这是让客户机进行身份验证的最简单的方法，即使秘密不是私有的）。请求的正文包含用户名、密码和“password”的授予类型。

除了身份验证服务器之外，应用程序还是用户、团队和组织的RESTful资源服务器。

我正在尝试使用Spring Social添加一个额外的SSO身份验证流。我已经将Spring Social配置为通过/auth/[provider]通过外部提供程序进行身份验证；但是，以下请求不再正确设置SecurityContext。Spring Security OAuth服务器或客户端是否可能重写了SecurityContext？

如果我可以在Spring Social流之后正确设置SecurityContext，那么我就有了一个新的TokenGranter，它允许一个新的“Social”授予类型，它将检查预身份验证用户的SecurityContextHolder。

我对SecurityContext的具体问题（我认为这是Spring OAuth+Social integration的问题）的解决方案感兴趣，或者对外部提供者进行身份验证并从我们自己的身份验证服务器获取有效的JWT的不同方法感兴趣。

谢谢！

Answer 1

我在一个Jhipster生成的web应用程序上遇到了类似的问题。最后，我决定使用Spring Social的SocialAuthenticationFilter选项（通过SpringSocialConfigureer)。成功的社交登录后，服务器自动生成并通过重定向到客户端应用程序返回“自己的”访问令牌。

以下是我的尝试：

@Configuration
@EnableResourceServer
protected static class ResourceServerConfiguration extends ResourceServerConfigurerAdapter implements EnvironmentAware {

    //...

    @Inject
    private AuthorizationServerTokenServices authTokenServices;

    @Override
    public void configure(HttpSecurity http) throws Exception {

        SpringSocialConfigurer socialCfg = new SpringSocialConfigurer();
        socialCfg
            .addObjectPostProcessor(new ObjectPostProcessor<SocialAuthenticationFilter>() {
                @SuppressWarnings("unchecked")
                public SocialAuthenticationFilter postProcess(SocialAuthenticationFilter filter){
                    filter.setAuthenticationSuccessHandler(
                            new SocialAuthenticationSuccessHandler(
                                    authTokenServices,
                                    YOUR_APP_CLIENT_ID
                            )
                        );
                    return filter;
                }
            });

        http
            //... lots of other configuration ...
            .apply(socialCfg);
    }        
}

和SocialAuthenticationSuccessHandler类：

public class SocialAuthenticationSuccessHandler implements AuthenticationSuccessHandler {

    public static final String REDIRECT_PATH_BASE = "/#/login";
    public static final String FIELD_TOKEN = "access_token";
    public static final String FIELD_EXPIRATION_SECS = "expires_in";

    private final Logger log = LoggerFactory.getLogger(getClass());
    private final AuthorizationServerTokenServices authTokenServices;
    private final String localClientId;

    public SocialAuthenticationSuccessHandler(AuthorizationServerTokenServices authTokenServices, String localClientId){
        this.authTokenServices = authTokenServices;
        this.localClientId = localClientId;
    }

    @Override
    public void onAuthenticationSuccess(HttpServletRequest request,
            HttpServletResponse response, Authentication authentication)
                    throws IOException, ServletException {
        log.debug("Social user authenticated: " + authentication.getPrincipal() + ", generating and sending local auth");
        OAuth2AccessToken oauth2Token = authTokenServices.createAccessToken(convertAuthentication(authentication)); //Automatically checks validity
        String redirectUrl = new StringBuilder(REDIRECT_PATH_BASE)
            .append("?").append(FIELD_TOKEN).append("=")
            .append(encode(oauth2Token.getValue()))
            .append("&").append(FIELD_EXPIRATION_SECS).append("=")
            .append(oauth2Token.getExpiresIn())
            .toString();
        log.debug("Sending redirection to " + redirectUrl);
        response.sendRedirect(redirectUrl);
    }

    private OAuth2Authentication convertAuthentication(Authentication authentication) {
        OAuth2Request request = new OAuth2Request(null, localClientId, null, true, null,
                null, null, null, null);
        return new OAuth2Authentication(request,
                //Other option: new UsernamePasswordAuthenticationToken(authentication.getPrincipal(), "N/A", authorities)
                new PreAuthenticatedAuthenticationToken(authentication.getPrincipal(), "N/A")
                );
    }

    private String encode(String in){
        String res = in;
        try {
            res = UriUtils.encode(in, GeneralConstants.ENCODING_UTF8);
        } catch(UnsupportedEncodingException e){
            log.error("ERROR: unsupported encoding: " + GeneralConstants.ENCODING_UTF8, e);
        }
        return res;
    }
}

这样，只要在socialauthenticationsuccesshandler中设置相应的redirect_path_base，客户端应用程序将通过重定向到/#/login？access_token=my_access_token&expires_in=seconds_to_expiration来接收web应用程序的访问令牌。

希望有帮助。