只使用keycloak进行身份验证，并使用自定义过滤器进行授权（Spring Boot）

Question

我试图使用keycloak只用于身份验证，并有自己的自定义过滤器用于授权。因此理想的流程是：首先，Keycloak filter对请求进行身份验证，并在上下文中设置身份验证对象。然后，我的自定义过滤器应该运行，它应该获得现有的身份验证对象，在该身份验证对象中添加权限，并将其设置回上下文中。

@Configuration
@EnableWebSecurity
class SecurityConfig extends KeycloakWebSecurityConfigurerAdapter
{
    @Override
    protected void configure(HttpSecurity http) throws Exception
   {
      super.configure(http);
        http
        .cors()
        .and()
        .csrf().ignoringAntMatchers("/","/auth","/auth/logout").csrfTokenRepository(CookieCsrfTokenRepository.withHttpOnlyFalse()).and()
        .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()
        .authorizeRequests()
        .antMatchers(
                "/",
                "/auth",
                "/password/**",
              "/register/**",
              "/v2/api-docs",
              "/actuator/**",
              "/configuration/ui",
              "/swagger-resources",
              "/configuration/security",
              "/swagger-ui.html",
              "/webjars/**",
              "/swagger-resources/configuration/ui",
              "/swagger-resources/configuration/security",
              "/browser/index.html#",
              "/browser/**").permitAll()
        .antMatchers(HttpMethod.POST, REGISTER).permitAll()
        .antMatchers(HttpMethod.POST, CONFIRM).permitAll()
        .anyRequest().authenticated()
        .and()
        .addFilter(new JWTAuthorizationFilter(authenticationManager(),context))
//      .addFilterAfter(new JWTAuthorizationFilter(authenticationManager(),context), KeycloakAuthenticationProcessingFilter.class)
        .headers()
        .contentSecurityPolicy("script-src 'self'");
}

因此，首先，在speing引导应用程序中使用keycloak是正确的方法吗？如果是，那么如何使我的过滤器在过滤器链中最后运行呢？

Answer 1

您似乎将两个范例混合在一起，1)使用keycloak作为授权服务器，2)尝试将JWTs用于auth（诱惑化）中的一个或两个。

请参阅Spring Security的Josh Cummings最近制作的关于何时使用JWTs以及如何使用Spring Security 5的视频。另外，请查看JWT示例，它完全替换了JWTauthEnticationFilter，而不使用keycloak-spring-security-adapter。您还可以查看OAuth2登录示例，了解如何使用Spring Security开始进行社交登录。

就具体使用keycloak而言，我建议使用Spring Security 5的内置功能，它与keycloak的授权服务器完全集成，应该可以同时实现这两个目标。

docker run --name keycloak -p 9000:8080 -e KEYCLOAK_USER=admin -e KEYCLOAK_PASSWORD=admin -e DB_VENDOR=h2 -d jboss/keycloak

127.0.0.1       auth-server

使用admin:admin登录到keycloak后，我设置了一个名为MyRealm的领域和一个名为test-client的客户端，该客户端的有效重定向uri为http://localhost:8080/*，另一个作用域为resource:read，生成了一个客户端机密，最后创建了一个具有凭据的用户。

TLDR：GitHub示例

要开始，请确保类路径上有以下依赖项：

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-oauth2-client</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

server:
  port: 8080

keycloak-server:
  uri: http://auth-server:9000/auth/realms/myrealm
  openid-uri: ${keycloak-server.uri}/protocol/openid-connect

spring:
  security:
    oauth2:
      client:
        registration:
          test-client:
            provider: keycloak
            client-id: test-client
            client-secret: ${TEST_CLIENT_SECRET:your-client-secret}
            client-authentication-method: client_secret_basic
            authorization-grant-type: authorization_code
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
            scope: resource:read
        provider:
          keycloak:
            # Configure the provider with keycloak
            authorization-uri: ${keycloak-server.openid-uri}/auth
            token-uri: ${keycloak-server.openid-uri}/token
            user-info-uri: ${keycloak-server.openid-uri}/userinfo
            user-info-authentication-method: client_secret_basic
            jwk-set-uri: ${keycloak-server.openid-uri}/certs
            # Alternatively, set issuer-uri (replaces above settings) to use ${keycloak-server.uri}/.well-known/openid-configuration
            # to auto-configure OpenID Connect on startup.
            # issuer-uri: ${keycloak-server.uri}
            # This is required in either case to inform Spring Security about keycloak's username
            user-name-attribute: preferred_username

logging:
  level:
    org.springframework.security: trace

下面是一个示例控制器来证明它是有效的：

java prettyprint-override">@RestController
public class ExampleController {
    @GetMapping("/")
    public Map<String, String> home(@AuthenticationPrincipal DefaultOAuth2User user) {
        return Map.of("message", "You are logged in, " + user.getName() + "!");
    }

    @GetMapping("/token")
    public OAuth2AccessToken token(@RegisteredOAuth2AuthorizedClient("test-client") OAuth2AuthorizedClient testClient) {
        return testClient.getAccessToken();
    }
}

这通常足以使用KeyCloak进行身份验证。如果希望对Spring Security性进行更细粒度的控制，请使用以下配置开始：

@EnableWebSecurity
public class SecurityConfiguration {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        // @formatter:off
        http
            .authorizeRequests(authorizeRequests -> authorizeRequests
                .antMatchers("/token").hasAuthority("SCOPE_resource:read")
                .anyRequest().authenticated()
            )
            .oauth2Client(withDefaults())
            .oauth2Login(withDefaults());
        // @formatter:on

        return http.build();
    }

}

这个示例使用Spring Security5对OAuth2.0和OpenID Connect1.0的开箱即用支持和KeyCloak。

请注意，您不需要自定义筛选器来从keycloak获得权限，我们只是请求resource:read作用域可用，Spring Security与keycloak一起工作，以确保我们拥有该权限。我们也没有使用JWTs进行身份验证，而是使用标准会话管理，这是推荐的。