如何使用基于作用域的@preauthorize保护spring-security-oauth资源？

Question

我成功地配置了spring-security-oauth2，这样外部应用程序就可以使用我的应用程序进行身份验证。然而，基于外部应用程序和用户允许的，客户端应该只能访问我的API的一个子集。可用子集由OAuth作用域确定。

在经典的Spring应用程序中，我可以使用@preauthorize来强制执行基于角色的边界：

@Controller
public class MyController {
  @PreAuthorize("hasRole('admin')")
  @RequestMapping("...")
  public String doStuff() {
    // ...
  }
}

当使用OAuth并使用作用域而不是角色时，我如何做到这一点？

Answer 1

Spring OAuth附带OAUTH2MethodSecurityExpressionHandler，这个类增加了使用@preauthorize表达式执行此类检查的能力。您所需要做的就是注册这个类，例如，如果您使用的是JavaConfig：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public static class MethodSecurityConfig extends GlobalMethodSecurityConfiguration {
    @Override
    protected MethodSecurityExpressionHandler createExpressionHandler() {
        return new OAuth2MethodSecurityExpressionHandler();
    }
}

现在您可以简单地使用：

@PreAuthorize("#oauth2.hasScope('requiredScope')")

以保护请求方法。若要查看有哪些其他方法可用，请查看Hasscope类OAuth2SecurityExpressionMethods。

缺点是oauth2MethodSecurityExpressionHandler扩展了DefaultMethodSecurityExpressionHandler，因此您不能将它与同样扩展该类的其他类组合。

作为替代方案，您还可以将OAuth作用域映射到经典用户角色。