使用Okta的Spring Security性&自定义重定向==重定向太多

Question

当使用自定义重定向URL配置Spring security时，该URL使用基本URI模板变量，如下所示:https://docs.Spring.io/Spring-security/site/docs/5.2.12.release/reference/html/oauth2.html#oauth2client-auth-code-redirect-uri

应用程序进入了太多重定向的循环。

此配置工作:spring.security.oauth2.client.registration.okta.redirect-uri={baseUrl}/login/oauth2/code/{registrationId}

由于证书和负载均衡器以及所有这些，我们需要欺骗spring重定向到https而不是它运行的http。所以我们需要修改的基础。

使用基URL，我们可以从浏览器中看到以下循环：

• 用户访问应用程序URL:https://myapp
• 使用与应用程序匹配的redicrect url重定向到Okta进行登录
• 使用来自Okta的代码重定向回应用程序
• 被重定向到MyApp中他们正在寻找的页面

null

我的结论是：设置重定向URL是正确地调用Okta，但会影响应用程序如何响应重定向调用。

当调试打开时，下面是一个工作调用堆栈：

• 2021-11-19 12:59:21.690 DEBUG 7400---[nio-8080-exec-4]o.s.security.web.filterchainproxy:Securing GET/login/oauth2/code/okta？code=es23ulhg3psixke3fsk8vaicitmiakozhj4ku72n5k4&state=0w_8uffbbnhb5vnt31w4j2pvd1he1f3qspoma5_h7c%3d
• 2021-11-19 12:59:21.690 DEBUG 7400---[nio-8080-exec-4]S.S.W.C.SecurityContextPersistenceFilter:将SecurityContextTholder设置为空SecurityContext
• 2021-11-19 12:59:22.855 DEBUG 7400---[nio-8080-exec-4].s.changeSessionidAuthenticationStrategy:从32a94cbeb8bb3474fc1fe355f283a3cd更改了会话id

当它不起作用的时候：

• 2021-11-19 12:55:37.359 DEBUG 1240---[nio-8080-exec-5]o.s.security.web.filterchainproxy:Securing GET/login/oauth2/code/okta？code=khasdirxodjk24dmaljdyfzlawy-ilvap_qlmtb0j8k&state=le1ddql8zxmajkd6xwbli-c42k_-h6mfrlvhhi4gyhw%3d
• 2021-11-19 12:55:37.359 DEBUG 1240---[nio-8080-exec-5]S.S.W.C.SecurityContextPersistenceFilter:将SecurityContextTholder设置为空SecurityContext
• 2021-11-19 12:55:37.359 DEBUG 1240---[nio-8080-exec-5]O.S.S.W.A.AnonymousAuthenticationFilter:将SecurityContextTholder设置为anonymous SecurityContext

Answer 1

这里面有几个问题。

首先，您不需要“愚弄”Spring来知道您的应用程序是https还是HTTP。我猜您在反向代理后面运行，只需确保设置了正确的X-forwarded-*标头：

https://docs.spring.io/spring-boot/docs/current/reference/html/howto.html#howto.security.enable-https

对于“太多重定向”问题，这通常是应用程序端的配置错误（我猜是无效的客户机ID、客户机机密或颁发者。

经常发生的情况是，您的应用程序重定向到IdP(Okta)，IdP对用户进行身份验证，然后重定向回您的应用程序。