Spring Security OAuth2使用外部登录页面登录

Question

• 客户端SPA应用程序，我要使用的登录页面驻留于此
• OAuth身份验证服务器（使用Spring Security OAuth/@EnableAuthorizationServer)
• 一个或多个OAuth资源服务器

我寻求的OAuth流如下所示：

• 用户尝试访问SPA中的安全路由
• 客户端将用户重定向到OAuth服务器的授权页（参数包括状态、随机数等）
• OAuth服务器未检测到令牌并重定向到SPA的登录页
• 用户登录；post到登录url（登录url位于OAuth服务器上；CORS配置需要允许从SPA到OAuth服务器的跨源post）
• 登录成功；Spring重定向到最初请求的授权页面，该页面具有最初存在的参数
• 授权重定向到令牌；用户获得令牌；SPA检测到用户现在具有令牌并允许访问安全路由

@Override
protected void configure(HttpSecurity http) throws Exception {
    http.cors()
        .and()
        ... config ...
        .and()
        .formLogin()
        .loginPage("http://angular-spa-app/login") 
        .loginProcessingUrl("/login")
        .permitAll();
}

当我执行此流程时，我看到对OAUTH/AUTHORIZE？state=...&nonce=...&等等..发出的第一个请求，然后重定向到http://angulat-spa-app/login。但当我登录时，Spring无法检测到它是否应该重定向回保存在会话中的OAuth/authorizeurl。

进一步深入研究，我发现当发出对OAuth/authorize的第一个请求时，会将包含参数的完整url保存在会话(httpsessionRequestCache.saveRequest（...）中。

当登录表单提交并且身份验证成功时，Spring尝试检索保存的请求，以便获得重定向url作为302位置头发送。但当它这样做时，会话为空，因此Spring无法检索任何已保存的请求。这是为什么？我需要修改Spring会话设置来解决这个问题吗？

Answer 1

问题根本不在于Spring Security；是和角形水疗。当从Angular应用程序将跨域发布返回/login时，我需要发送JSESSION_ID cookie。

为此，我创建了HTTPInterceptor（如下所述）：

@Injectable()
export class AuthInterceptor implements HttpInterceptor {
  constructor() {}

  intercept(request: HttpRequest<any>, next: HttpHandler): Observable<HttpEvent<any>> {
    request = request.clone({
      withCredentials: true
    });
    return next.handle(request);
  }
}

withCredentials:true位是重要部分；这指示浏览器将cookie与XHR请求一起发送。