Spring靴和钥匙扣

Question

我想得到帮助，使我的spring boot应用程序更安全。

我有一个RESTful API，目前没有实现安全性。另一个spring boot应用程序通过HTTP请求（GET、POST、PUT…）访问该API。

最近，我学习了一个REDHAT教程，该教程演示了如何使用keycloak制作一个更安全的Spring启动应用程序。

我想学习如何使用这个安全组合（springsecurity-keycloak）来使用一个桌面应用程序（也在java中）作为客户端的springstart应用程序。任何建议都会派上用场。

谢谢你塞尔索

Answer 1

这里有两个选项：

1）要么使用KeyCloak适配器进行Spring Boot。

2）或者只使用带Keycloak的Springs OAuth2包（因为Keycloak只是另一个OAuth2服务器）。以下是使用从Keycloak传递的JWT（基于共享密钥）的示例配置：

@Configuration
@EnableResourceServer
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class JwtSecurityConfig extends ResourceServerConfigurerAdapter{

    @Override
    public void configure(ResourceServerSecurityConfigurer config) {
        config.tokenServices( createTokenServices() );
        config.resourceId(the aud claim that you setup under Keycloak/realm/mappers);
    }

    @Bean
    public DefaultTokenServices createTokenServices() {
        DefaultTokenServices defaultTokenServices = new DefaultTokenServices();
        defaultTokenServices.setTokenStore( createTokenStore() );
        return defaultTokenServices;
    }

    private TokenStore createTokenStore(){
        return createJwtTokenStore();
    }

    @Bean
    public TokenStore createJwtTokenStore() {               
        return new JwtTokenStore( createJwtAccessTokenConverter() );
    }

    @Bean
    public JwtAccessTokenConverter createJwtAccessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey(shared secret that is configured in keycloak client);
        return converter;
    }
}