KeyCloak（Spring引导）不验证RESTendpoint

Question

我正在尝试使用开源用户管理服务，比如KeyClope。构建一个angularJs应用程序，该应用程序将向由KeyClope保护的RESTendpoint发送HTTP请求。我在后端使用spring boot。我能够调用endpoint并得到结果，这应该是不可能的，因为它会阻止来自未经授权来源的请求。

这是我遵循的两个链接

1. 带角和Spring靴的钥匙斗篷

2.Github链接到KeyClope示例

由用户将调用的RESTendpoint组成的控制器。

@RequestMapping(value = "/api/getSample")
public test welcome() {
    return new test("sample");
}

@RequestMapping(value = "/check/test")
public test welcome2() {
    return new test("test");
}

使用CORS的Spring boot应用程序

@SpringBootApplication
public class Application 
{
    public static void main( String[] args )
    {
        SpringApplication.run(Application.class, args);
    }

    @Bean
    public FilterRegistrationBean corsFilter() {
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowCredentials(true);
        config.addAllowedOrigin("*");
        config.addAllowedHeader("*");
        config.addAllowedMethod("*");
        source.registerCorsConfiguration("/api/*", config);

        FilterRegistrationBean bean = new FilterRegistrationBean(new CorsFilter(source));
        bean.setOrder(0);
        return bean;
    }
}

应用程序属性文件

server.port = 8090

keycloak.realm = demo
keycloak.auth-server-url = http://localhost:8080/auth
keycloak.ssl-required = external
keycloak.resource = tutorial-backend
keycloak.bearer-only = true
keycloak.credentials.secret = 111-1111-111-111
keycloak.use-resource-role-mappings = true
keycloak.cors= true

keycloak.securityConstraints[0].securityCollections[0].name = spring secured api
keycloak.securityConstraints[0].securityCollections[0].authRoles[0] = user
keycloak.securityConstraints[0].securityCollections[0].patterns[0] = /api

keycloak.securityConstraints[0].securityCollections[1].name = insecure stuff
keycloak.securityConstraints[0].securityCollections[1].authRoles[0] = user
keycloak.securityConstraints[0].securityCollections[1].patterns[0] = /check

有两个测试用例

>

在没有登录的情况下进行REST调用。在这种情况下，我能够得到结果。这不应该是这样的，我应该被阻止（得到401错误）。

登录时进行REST调用。我可以调用api/getSample，这是正确的行为。但是当我调用检查/测试时，我得到了XMLHttpRequest无法加载http://localhost:8090/check/test.对预检请求的响应没有通过改造权限检查：请求的资源上没有“访问控制允许源”标头。因此不允许访问源“http://localhost:9000”。响应有HTTP状态代码403。

Answer 1

您还没有在pom.xml.中添加Spring Boot KeyCloak适配器依赖项

对于2。您还没有为 /check配置CORS（仅为 /api）

 <dependency>
      <groupId>org.keycloak</groupId>
      <artifactId>keycloak-spring-boot-adapter</artifactId>
      <version>${keycloak.version}</version>
  </dependency>

Answer 2

1)

我不知道你的测试看起来怎么样，但是也许系统认为你还在登录？你可以尝试删除你的cookie，以确保没有保存访问令牌。

另一个选项可能是Spring Boot无法识别KeyClope适配器，因此无法确保访问安全。您主要通过添加keydape-Spring Boot适配器和keydape-tomcat8-Adapter依赖项来配置适配器（此处有更多详细信息）。

2)

看起来CORS配置不正确。您可以考虑这个实现的配置（这里有更多的细节）：

@Bean
FilterRegistrationBean corsFilter(
        @Value("${tagit.origin:http://localhost:9000}") String origin) {
    return new FilterRegistrationBean(new Filter() {
        public void doFilter(ServletRequest req, ServletResponse res,
                             FilterChain chain) throws IOException, ServletException {
            HttpServletRequest request = (HttpServletRequest) req;
            HttpServletResponse response = (HttpServletResponse) res;
            String method = request.getMethod();
            // this origin value could just as easily have come from a database
            response.setHeader("Access-Control-Allow-Origin", origin);
            response.setHeader("Access-Control-Allow-Methods",
                    "POST,GET,PUT,DELETE");
            response.setHeader("Access-Control-Max-Age", Long.toString(60 * 60));
            response.setHeader("Access-Control-Allow-Credentials", "true");
            response.setHeader(
                    "Access-Control-Allow-Headers",
                    "Origin,Accept,X-Requested-With,Content-Type,Access-Control-Request-Method,Access-Control-Request-Headers,Authorization");
            if ("OPTIONS".equals(method)) {
                response.setStatus(HttpStatus.OK.value());
            }
            else {
                chain.doFilter(req, res);
            }
        }

        public void init(FilterConfig filterConfig) {
        }

        public void destroy() {
        }
    });
}