只登录特定的网址

Question

我正在尝试通过Spring Security进行登录的oAuth2配置设置。但仅限于特定的网址。

我的安全配置如下。

@Override
public void configure(HttpSecurity http) throws Exception {
    http
            .antMatcher("/secured/**")
            .authorizeRequests()
            .anyRequest()
            .authenticated()
    .and()
    .oauth2Login()
    .clientRegistrationRepository(clientRegistrationRepository())
    .authorizedClientService(authorizedClientService());
}

基本上，我只希望oauth2Login成为以/secured开头的URL的触发器。它似乎几乎可以工作，唯一的问题是每当Spring试图将我的会话重新定向到google进行身份验证时，它就会触发404。

oauth身份验证的标准重定向应该触发到http://localhost:8080/oauth2/authorization/google，我的应用程序试图这样做，但它是404的。

我假设http://localhost:8080/oauth2/authorization/googleurl被某种类型的安全配置阻止了？但我一辈子都搞不懂为什么。

我猜我需要找到正确的组合。permitAll（）对于任何指向“/oAuth2/授权/**”的请求

我在下面试过这个。

    @Override
public void configure(HttpSecurity http) throws Exception {
    http
            .antMatcher("/secured/**")
            .authorizeRequests()
            .antMatchers("/oauth2/authorization/**")
            .permitAll()
            .anyRequest()
            .authenticated()
    .and()
    .oauth2Login()
    .clientRegistrationRepository(clientRegistrationRepository())
    .authorizedClientService(authorizedClientService());
}

但这行不通。。。。。有人看到我的问题了吗？我没有其他与此冲突的安全配置，我有点不知所措。

Answer 1

@eleftheria stein kousathana的回答让我想到了另一个可能的解决方案。

如上所述，知道OAuthendpoint不会被调用是很重要的，因为它们的安全配置直接绑定到HttpSecurity对象后面的antMatcher（）调用。

但是，正如文档中所述，您还可以更改重定向endpoint和授权endpoint的基Uris

@Override
public void configure(HttpSecurity http) throws Exception {
    http
            .antMatcher("/secured/**")
            .authorizeRequests()
            .anyRequest()
            .authenticated()
    .and()
    .oauth2Login()
       //New Code Starting here
       .authorizationEndpoint()
          .baseUri("/secured/oauth2/authorization")
        .and()
        .redirectionEndpoint()
          .baseUri("/secured/oauth2/code/*")
        .and()
       //new code ending here
    .clientRegistrationRepository(clientRegistrationRepository())
    .authorizedClientService(authorizedClientService());
}

请务必更改您的客户注册的reDirectUriTemboard以及在您的AuthorizationServer配置的重定向uri

并且一定要添加星号在重定向Endpoint.baseUri的结尾...

Answer 2

理解这个问题的第一步是理解http之间的区别。antMatcher（）和http。授权请求（）。

让我们看看下面的配置。
（我使用lambda风格的配置，从Spring Security 5.2开始可用，以使其更具可读性）

java prettyprint-override">@Override
public void configure(HttpSecurity http) throws Exception {
    http
            .antMatcher("/secured/**")
            .authorizeRequests(authorize -> authorize
                    .anyRequest().authenticated()
            )
            .oauth2Login(oauth2Login -> oauth2Login
                    .clientRegistrationRepository(clientRegistrationRepository())
                    .authorizedClientService(authorizedClientService())
            );
}

在这里，我们指定HTTP安全性仅在匹配"/安全/**"时调用。

换句话说，如果请求与“/secured/**”匹配，则该请求将仅由SecurityFilterChain处理。

这是一个问题，因为SecurityFilterChain是从“/oauth2/Authorization/google”发起授权请求的。

但是，由于“/oauth2/authorization/google”与“/secured/**”不匹配，因此未调用安全过滤器链。

请考虑以下配置。

@Override
public void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests(authorize -> authorize
                    .antMatchers("/secured/**").authenticated()
                    .anyRequest().permitAll()
            )
            .oauth2Login(oauth2Login -> oauth2Login
                    .clientRegistrationRepository(clientRegistrationRepository())
                    .authorizedClientService(authorizedClientService())
            );
}

在这里，将为所有请求调用HTTP安全性。

但是，只有符合“/secured/**”的请求才会要求用户进行身份验证。

Answer 3

根据之前的回答，没有lambda样式的版本应该是这样的吧？

@Override
public void configure(HttpSecurity http) throws Exception {
    http
            .authorizeRequests
            .antMatchers("/secured/**").authenticated()
            .anyRequest().authenticated()
            .and()
            .oauth2Login()
            .clientRegistrationRepository(clientRegistrationRepository())
            .authorizedClientService(authorizedClientService());
}

如果我们只希望oAuth2Login为"/安全/**"，为什么我们要使用验证（）为antMatcher（"/安全/**")和anyRequest（）（而不是permitAll（）为anyRequest（））？

谢谢你。