运行Spring Boot oAuth2应用程序作为资源服务器并提供web内容

Question

我使用的是Spring Boot 1.5.13、Spring Security 4.2.6和Spring Security oAuth2 2.0.15。

我想为我们的Spring Boot应用程序找到一个最佳实践设置，该应用程序提供一组混合内容：一个REST API，一些web页面为开发人员提供一个方便的“登陆页”，上面有一些链接，加上基于Swagger的API文档，这也是web内容。

我的配置允许我使用适当的授权代码流运行应用程序，因此我可以通过浏览器访问所有web内容，并由配置的IdP（在我的例子中是PingFederate）进行身份验证，此外，我可以在浏览器内进行API调用，即直接调用或使用REST客户端调用，例如使用RESTClient。

这是我的安全配置：

@Slf4j
@Configuration
@EnableWebSecurity
@EnableOAuth2Sso // this annotation must stay here!
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/login**", "/webjars/**", "/css/**").permitAll()
                .antMatchers("/cfhealth").permitAll()
                .antMatchers("/").permitAll()
                .antMatchers("/protected", "/api/**").authenticated();
    }

    @Bean
    public RequestContextListener requestContextListener() {
        return new RequestContextListener();
    }

}

和oAuth2配置：

@Configuration
@Slf4j
public class OAuth2Config extends ResourceServerConfigurerAdapter {

    @Value("${pingfederate.pk-uri}")
    String pingFederatePublicKeyUri;

    @Autowired
    PingFederateKeyUtils pingFederateKeyUtils;

    @Override
    public void configure(ResourceServerSecurityConfigurer config) {
        config.tokenServices(tokenServices());
    }

    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }

    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        String certificate = pingFederateKeyUtils.getKeyFromServer(pingFederatePublicKeyUri);
        String publicKey = pingFederateKeyUtils.extractPublicKey(certificate);
        converter.setVerifier(pingFederateKeyUtils.createSignatureVerifier(publicKey));
        return converter;
    }

    @Bean
    @Primary
    public DefaultTokenServices tokenServices() {
        DefaultTokenServices defaultTokenServices = new DefaultTokenServices();
        defaultTokenServices.setTokenStore(tokenStore());
        return defaultTokenServices;
    }

}

但是，当我想通过编程方式/在浏览器外部使用头部中的承载令牌调用REST API，例如使用curl时，授权代码流会启动并重定向到本地登录endpoint。我想要的是，API调用接受承载令牌进行身份验证，而不创建会话，并且浏览器中的所有web Content/MVC调用都建立会话。

curl -i -H "Accept: application/json" -H "Authorization: Bearer $TOKEN" -X GET http://localhost:8080/authdemo/api/hello

将@enableResourceServer注释添加到上面的SecurityConfig类中（并在应用程序属性文件中添加security.oauth2.resource.filter-order=3，我可以使curl命令工作，但随后授权代码流中断，我在浏览器中为应用程序中的所有URL获得以下输出：

需要完全身份验证才能访问此资源 未经授权

现在有办法让这个szenario工作得很好吗？如果是，那会是什么样子？还是只在Spring boot+security+oauth2的较晚版本中支持？

使用安全OAuth2启动Spring时的问题--如何使用web登录表单的资源服务器？很相似

Answer 1

我找到了解决方案：它需要多个HttpSecurity配置。通过阅读Matt Raible在https://developer.okta.com/blog/2018/02/13/secure-spring-microservices-with-oauth上写的一篇很棒的文章，我发现了这一点，他向我介绍了requestMatchers（.）的概念。这就是我最终如何实现的：

 @Configuration
 @EnableResourceServer
 @EnableWebSecurity(debug = true)
 @EnableOAuth2Sso
 public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

     @Bean
     public RequestContextListener requestContextListener() {
         return new RequestContextListener();
     }

     @Override
     public void configure(HttpSecurity http) throws Exception {
         http
             .requestMatcher(new RequestHeaderRequestMatcher("Authorization"))
             .authorizeRequests().anyRequest().fullyAuthenticated();
     }

 }

这样，我就可以用浏览器访问服务，从而产生授权代码流。但是访问API（或者实际上是服务的任何部分）会导致对所提供的承载令牌进行验证。

为了说明如何在这种情况下退出/公开一些endpoint，下面是我如何配置执行器endpoint和我自己添加的一个非常简单的“ping”endpoint：

 @Configuration
 @Order(1)
 public class ActuatorSecurity extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.requestMatcher(new OrRequestMatcher(EndpointRequest.to("health", "info"),
                 new AntPathRequestMatcher("/cfhealth"))).authorizeRequests().anyRequest().permitAll();
    }

 }

和/cfhealthendpoint的实现：

 @Controller
 @Slf4j
 public class MainController {

     @GetMapping(value = "/cfhealth")
     @ResponseBody
     public String cfhealth() {
         return "ok";
     }

 }

如果这是Spring Security配置的最佳实践方法，或者有更好的方法，我很乐意向其他人学习。在过去的几周里，我在这个主题上花了相当多的时间，要掌握基本的Spring Security概念需要付出相当多的努力。