如何拥有单独的身份验证源？（一个用于Oauth2，一个用于基于表单的登录）

Question

我正在编写一个小的应用程序，它有一个链接到数据库的身份验证，这个身份验证将由Oauth2方面（由@enableAuthorizationServer和@enableResourceServer注释的类）管理。在同一个应用程序中，管理页面有另一个身份验证，该页面将链接到另一个不同的数据库，并将使用常规的基于表单的身份验证。

为此，我编写了以下Web安全配置类：

@Configuration
@EnableWebSecurity
public class WebSecurityConfig{

    @Configuration
    @Order(5)
    public static class AdminSecurityConfig extends WebSecurityConfigurerAdapter {

        @Override
        protected void configure(HttpSecurity http) throws Exception {

            http.logout().logoutRequestMatcher(new AntPathRequestMatcher("/admin_logout"))
                    .invalidateHttpSession(true).logoutSuccessUrl("/admin/login.html");

            http.authorizeRequests()
                    .antMatchers("/admin/login.html").permitAll().antMatchers("/admin/protected.html")
                    .hasRole("ADMIN")
                    .and().formLogin().loginPage("/admin/login.html")
                    .loginProcessingUrl("/admin_login").defaultSuccessUrl("/admin/protected.html");

        }

        @Override
        public void configure(AuthenticationManagerBuilder auth) throws Exception {
            //Data source for form based auth
            auth.inMemoryAuthentication().withUser("adminuser").password("adminpassword").roles("ADMIN");
        }
    }
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        //Data source for Oauth
        auth.inMemoryAuthentication().withUser("myuser").password("mypassword").roles("USER").and().withUser("test")
                .password("testpassword").roles("USER");
    }
}

其他相关组成部分有：

授权服务器配置：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter{

    @Autowired
    AuthenticationManager authenticationManager;

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authenticationManager).tokenEnhancer(tokenEnhancer())
        .tokenStore(tokenStore());
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients
            .inMemory()
                .withClient("client")
                .secret("secret")
                .authorizedGrantTypes("password", "refresh_token")
                .scopes("read", "write")
                .resourceIds("resource").accessTokenValiditySeconds(60);
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer oauthServer) throws Exception
    {
       oauthServer.checkTokenAccess("isAuthenticated()");    
    }

    @Bean
    public TokenEnhancer tokenEnhancer() {
        return new CustomTokenEnhancer();
    }

    @Bean
    public TokenStore tokenStore() {
        return new InMemoryTokenStore();
    }

}

资源服务器配置：

@Configuration
@EnableResourceServer
@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER-1)
public class ResourceServerConfiguration extends ResourceServerConfigurerAdapter{

    @Autowired
    TokenStore tokenStore;

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) {
        resources.resourceId("resource").tokenStore(tokenStore);
    }
    @Override
    public void configure(final HttpSecurity http) throws Exception {
     http.authorizeRequests().antMatchers("/api/**").authenticated();
 }
}

您还可以在这里签出代码:https://github.com/cenobyte321/spring-oauth2-tokenenhancer-test/tree/webspeciallogin（分支：webspeciallogin）

问题是AdminSecurityConfig类中的所有内容都被忽略了，我可以在不登录的情况下进入Protected.html页面，并且没有创建指定的登录和注销处理URL。

另一方面，基于Oauth2的登录没有问题。我还没有弄清楚如何在Oauth2中指定AuthenticationManagerBuilder，大多数在线资源建议使用Oauth正确读取的configureGlobal注入方法，这就是为什么在上面的代码中设置它。

如何在一个启用oauth2的应用程序中配置两个彼此独立的身份验证源？

问候。

Answer 1

你需要两件事：

>

确保AdminSecurityConfig的优先级高于ResourceServerConfiguration。虽然@enableResourceServer注释的文档说它将用硬编码顺序3注册WebSecurityConfigurerAdapter，但它实际上在ResourceServerOrderProcessor中被重写，顺序为-10。因此，请确保AdminSecurityConfig的顺序低于-10。

确保将AdminSecurityConfig中的HttpSecurity请求匹配器配置限制为与管理服务器相关联的URL，如下所示：

http.requestMatchers().antMatchers("/admin/**", "/admin_login", "/admin_logout")
    .and()
        .authorizeRequests()
        .antMatchers("/admin/protected.html").hasRole("ADMIN")
        .antMatchers("/admin/login.html").permitAll()
    .and()
        .formLogin().loginPage("/admin/login.html")
        .loginProcessingUrl("/admin_login")
        .defaultSuccessUrl("/admin/protected.html")
    .and()
        .logout().logoutRequestMatcher(new AntPathRequestMatcher("/admin_logout"))
        .invalidateHttpSession(true).logoutSuccessUrl("/admin/login.html")
        ;

注意嵌入代码的第一行http.requestmatchers().antmatchers（“/admin/**”，“/admin_login”，“/admin_logout”）。

参见Dave Syer（Spring Security的作者之一）对类似问题的回答以供参考。

我在GitHub上为您的示例项目做了一个pull请求。