Spring安全无功混合HttpBasic OAuth2

Question

我正在尝试一个安全Webflux配置，在这里我可以使用httpBasic登录一些资源，并使用oAuth登录其他资源

到目前为止，我还不知道该怎么做；似乎，在非反应性的方式中，可以使用某种领域名称或其他什么来实现，但在反应性的方式中，这并不存在，我认为这是因为它与线程的工作流或与web过滤器链中的工作流相关

但是我现在在科特林有以下几点，

return http.httpBasic().authenticationManager {...}
    .and()
       .oauth2ResourceServer()
          .jwt()
          .and()
    .and()
    .authorizeExchange()
    .pathMatchers(* noAuthPaths).permitAll()
    .pathMatchers(* basicAuthPaths).authenticated()
    .anyExchange().access{...}
    .and().csrf().disable()
    .build()

检查noAuthPaths和basicAuthPaths是否只是字符串模式的数组，最后一个数组（basicAuthPaths）就是我想使用HttpBasic的数组。

如果我在浏览器中调用该资源，并且它列在BasicAuthPath中，我希望登录弹出请求基本身份验证凭据。如果不是的话，我希望是持票人代币。

使用当前配置，如果我在postman中使用Basic Auth调用资源，我可以访问数组中列出的所有资源以及来自任何Exchange方法的资源。此外，如果我在浏览器中输入资源，登录表单不会弹出。

有人知道如何为不同的资源支持这两种策略吗？谢谢

我尝试了这个答案中的建议，但没有成功。

我用Okta作为OAuth IDP创建了一个简单的示例。

在使用带有订单注释的不同bean的情况下，我无法让它运行，总是获得403状态，如果访问一个bean被认为是基本身份验证，它也会要求Okta身份验证。

至少在只有一个Bean配置的情况下，我设法从secureoauthendpoint看到答案，而securebasicendpoint由于访问策略而拒绝。

在这两种情况下，始终调用OAuth身份验证。

感谢@greiker的建议，他在我的示例中添加了一个PR，你可以在这里找到它

在pull请求中，你可以找到我的一些评论，这些评论将用于Okta用例，并推动人们在需要时进行检查，但是建议的更改不会被删除，因为它们涵盖了更广泛的情况。

Answer 1

假设显示的代码来自@配置类。您可以将配置拆分为多个类，并在第一个类中添加@Order（1），在第一个类中配置基本身份验证（最终为这些路径配置permitAll），并拒绝OAuth URL的连接

然后@order（2）在第二个配置OAuth路径的地方。

将两者混合在同一个文件中只会让你头疼，但我相信可以通过AuthenticationEntryPoint完成。