spring-security-oauth2 JWKTokeStore和自定义用户详细信息服务

Question

我有一个富网络（基于反应）前端应用程序，它将请求发送到后端资源服务器应用程序。请求在头中与JWT一起发送以进行身份验证。我的设置对Okta授权服务器进行身份验证，并从单独的服务中检索组/授权。

我将后端服务器设置为Springboot应用程序，带有Spring Security Oauth2资源服务器@enableSourceServer

@Configuration
@EnableResourceServer
public class SecurityConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception{
        http.requestMatchers().antMatchers("/api/**")
                .and()
                .authorizeRequests().anyRequest().authenticated();
    }

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.tokenServices(tokenServices()).resourceId("my-okta-resource-server-client-id");
    }

    @Bean
    @Primary
    public DefaultTokenServices tokenServices() throws Exception {
        DefaultTokenServices tokenServices = new DefaultTokenServices();
        tokenServices.setTokenStore(tokenStore());
        return tokenServices;
    }

    @Bean
    public TokenStore tokenStore() throws Exception {
       return new JwkTokenStore("https://my-org.oktapreview.com/oauth2/my-auth-server/v1/keys");
    }

有了这个设置，我可以使用JwkTokenStore实现来验证JWT令牌（它在内部使用JwkVerifyingJwtAccessTokenConver来验证Json Web Keyset的密钥uri）。但是我无法将其配置为

1. 拉出特定的JWT声明，为其创建身份验证。它只看用户名声明，我想在上面使用电子邮件或其他声明

Spring-security-oauth2的JWK相关实现似乎已经关闭，大多数与JWK验证相关的类都没有公开。利用jwktokestore提供的令牌验证，并能够在其中包含您自己的用户详细信息以加载权限的好方法是什么。

正在使用的软件版本：Springboot 1.5.2。版本，spring security core:4.2.3，spring-security-oauth2:2.0.14，

Answer 1

您应该使用所谓的DefaultAccessTokenConverter来提取这些额外的声明，并将其添加到OAuth2Authentication对象中。

您可以@Autowire将CustomAccessTokenConverter导入ResourceServerConfiguration类，然后将其设置为JwtTokenStore（）配置。

资源服务器配置：

@Autowired
private CustomAccessTokenConverter yourCustomAccessTokenConverter;

@Override
public void configure(final ResourceServerSecurityConfigurer config) {
    config.tokenServices(tokenServices()).resourceId(resourceId);
}

@Bean
@Primary
public DefaultTokenServices tokenServices() {
    final DefaultTokenServices defaultTokenServices = new DefaultTokenServices();
    defaultTokenServices.setTokenStore(jwkTokenStore());
    return defaultTokenServices;
}

@Bean
public TokenStore jwtTokenStore() throws Exception {
   return new JwkTokenStore("https://my-org.oktapreview.com/oauth2/my-auth-server/v1/keys", accessTokenConverter());
}

@Bean
public JwtAccessTokenConverter accessTokenConverter() {
    JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
    converter.setAccessTokenConverter(yourCustomAccessTokenConverter);
    return converter;
}

可以配置CustomAccessTokenConverter，以便在此处提取自定义声明。

CustomAccessTokenConverter：

@Component
public class CustomAccessTokenConverter extends DefaultAccessTokenConverter {

    @Override
    public OAuth2Authentication extractAuthentication(Map<String, ?> claims) {
        OAuth2Authentication authentication = super.extractAuthentication(claims);
        authentication.setDetails(claims);
        return authentication;
    }
}

之后，您应该能够通过OAuth2Auth验证对象访问声明。