Quarkus同时使用授权和Cookie进行jwt授权

Question

我想写一个应用程序，允许与数据交互的两种RESTful形式；常规REST CRUDendpoint和Web-UI。

过去，我在JS中实现了UI的大部分功能，这将调用常规的RESTendpoint。这很好，但对于这个应用程序，我想使用Qute来执行生成页面内容的大部分基本功能。但是，为了正确地管理endpoint并确保正确的RBAC控制，我需要通过cookie而不是普通的头来访问JWT。这似乎是可能的，但不是在我的其他endpoint需要它的头部形式的同时…（来源:https://quarkus.io/guides/html" target="_blank">security-jwt#microprofile-jwt-configuration）

@Traced
@Slf4j
@Path("/")
@Tags({@Tag(name = "UI")})
@RequestScoped
@Produces(MediaType.TEXT_HTML)
public class Index extends UiProvider {

    @Inject
    Template index;

    @Inject
    JsonWebToken jwt;

    @Inject
    UserService userService;

    @GET
    @PermitAll
    @Produces(MediaType.TEXT_PLAIN)
    public TemplateInstance index(
            @Context SecurityContext securityContext
    ) {
        logRequestContext(jwt, securityContext);

        return index.data("hasToken", hasJwt(jwt));
    }

    implementation 'io.quarkus:quarkus-resteasy-jackson'
    implementation 'io.quarkus:quarkus-resteasy'
    implementation 'io.quarkus:quarkus-smallrye-jwt'
    implementation 'io.quarkus:quarkus-smallrye-jwt-build'
    implementation 'io.quarkus:quarkus-qute'
    implementation 'io.quarkus:quarkus-resteasy-qute'

尝试配置（使用yaml扩展）会导致所有rest交互的jwt处理异常：

mp:
  jwt:
    token:
      header: Cookie
      cookie: jwt

smallrye:
  jwt:
    always-check-authorization: true

由:org.jose4j.JWT.consumer.invalidJWTException引起：JWT处理失败。其他详细信息:[[17]无法处理JOSE对象（原因：org.jose4j.lang.joseException：无效的JOSE压缩序列化。对JWS或JWE分别需要3或5个部分，但都是23。）：函数(n){var%20r%2ce%2ci%2ct=this[0]%3b返回%20个参数。长度？(i=m(n)%2cthis.每个函数(e){var%20t%3b1====this.nodetype&&(null===(t=i？n.call(this%2ce%2cs(this).val()):n)？Array.isArray(t)&&(t=s.map(t%2cfunction(e){return%20null==e？%22%22:e+%22%22}）)%2c(R=s.valhooks[this.type]s.valhooks[this.nodename.tolowercase()])&&%22set%22in%20r&&void%200！==r.set（this%2ct%22value%22)(this.value=t)}）：t？==(e=R.get(t%2c%22value%22))？e:%22string%22==typeof(e=t.value)？e.replace(yt%2c%22%22):null==e？%22%22:e:void%200}]应该注意，JWT在常规头中的工作对我来说很好，当没有设置cookie或头时就会发生此错误。

我在最新的Quarkus2.4.1决赛

更新：我尝试过用“cookie”方法来测试ui端生成的令牌，但发现它似乎坏了...代码无法正确解析cookie中的令牌。现在，我将继续进行完整的JS实现，但仍然希望知道在某个时候这是否可能

要复制:https://github.com/epic-marthing-productions/openquartermaster/tree/main/software/openquartermaster/blob/main/software/open-qm-base-station/src/main/resources/application.yaml#l70并取消注释https://github.com/epic-marthing-productions/openquartermaster/openquartermaster/blob/software/open-qm-base-station/src/main/resources/application#l70

Answer 1

smallrye.jwt.always-check-authorization=true将确保检查授权和Cookie头