Spring security具有相同资源的Oauth2或HTTP基本身份验证

Question

我正在尝试实现一个API,该API具有受Oauth2或HTTP基本身份验证保护的资源。

当我加载WebSecurityConfigurerAdapter（它首先对资源应用HTTP基本身份验证）时，不接受Oauth2令牌身份验证。反之亦然。

配置示例：这将对所有/user/**资源应用HTTP基本身份验证

@Configuration
@EnableWebMvcSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    private LoginApi loginApi;

    @Autowired
    public void setLoginApi(LoginApi loginApi) {
        this.loginApi = loginApi;
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(new PortalUserAuthenticationProvider(loginApi));
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/users/**").authenticated()
                .and()
            .httpBasic();
    }

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }
}

@Configuration
@EnableResourceServer
protected static class ResourceServerConfiguration extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .requestMatchers().antMatchers("/users/**")
        .and()
            .authorizeRequests()
                .antMatchers("/users/**").access("#oauth2.clientHasRole('ROLE_CLIENT') and #oauth2.hasScope('read')");
    }
}

Answer 1

我设法得到这个工作的基础上，提示迈克尔雷斯勒的答案，但有一些调整。

我的目标是在相同的资源endpoint上同时允许基本身份验证和Oauth，例如/leafcase/123。由于filterChains的排序（可以在FilterChainProxy.filterChains中进行检查），我被困了相当一段时间；默认顺序如下：

• OAuth身份验证服务器（如果在同一项目中启用）的筛选器链。默认顺序0（请参阅AuthorizationServerSecurityConfiguration)
• OAuth资源服务器的筛选器链。默认顺序3（请参见ResourceServerConfiguration）。它有一个请求匹配器逻辑，可以匹配Oauth身份验证endpoint以外的任何东西（例如，/Oauth/token、/Oauth/authorize等。请参阅ResourceServerConfiguration$NotoAuthRequestMatcher.matches())。
• 对应于config（HttpSecurity http）的filterChains-默认顺序100，请参见WebSecurityConfigurerAdapter。

由于资源服务器的filterChains比WebSecurityConfigurerAdapter配置的filterchain的级别更高，并且前者几乎匹配每个资源endpoint，因此Oauth资源服务器逻辑总是介入到对资源endpoint的任何请求中（即使请求使用授权：基本头）。您将得到的错误是：

{
    "error": "unauthorized",
    "error_description": "Full authentication is required to access this resource"
}

我做了2个改变来获得这个工作：

首先，将WebSecurityConfigurerAdapter排序为高于资源服务器（排序2高于排序3）。

@Configuration
@Order(2)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

其次，让configure（HttpSecurity）使用一个只匹配“authorization：basic”的customer RequestMatcher。

@Override
protected void configure(HttpSecurity http) throws Exception {

    http
        .anonymous().disable()
        .requestMatcher(new BasicRequestMatcher())
        .authorizeRequests()
            .anyRequest().authenticated()
            .and()
        .httpBasic()
             .authenticationEntryPoint(oAuth2AuthenticationEntryPoint())
            .and()
        // ... other stuff
 }
 ...
 private static class BasicRequestMatcher implements RequestMatcher {
    @Override
    public boolean matches(HttpServletRequest request) {
        String auth = request.getHeader("Authorization");
        return (auth != null && auth.startsWith("Basic"));
    }
 }

因此，在资源服务器的filterChain有机会匹配一个基本的身份验证资源请求之前，它会匹配并处理它。它也只处理authorizaiton：basic资源请求，因此任何带有authorizaiton：barer的请求都将落空，然后由资源服务器的filterChain处理（即OAuth的过滤器启动）。此外，它的级别低于AuthenticationServer（在同一项目上启用AuthenticationServer的情况下），因此它不会阻止AuthenticationOnServer的filterchain处理对/oauth/token等的请求。