Spring Security+Keycloak授权：如何将endpoint与资源相关联？

Question

我使用spring-boot-starter-security和keycloak-spring-security-adapter创建了一个Spring Boot应用程序，并使用Keycloak对用户进行身份验证。

现在我想使用KeyCloak的授权服务对我的API进行细粒度访问控制。

在Keycloak中，我已经为我的客户启用了授权。我已经创建了一个角色，并将该角色分配给我的测试用户。我已经创建了一个资源和一个基于资源的权限，并添加了一个基于角色的策略。使用评估功能，我已经确认，我的用户有权访问我的资源。

假设我有一个带有一个endpoint的以下控制器。

@RestController
class GreetingController {

    @GetMapping("/hello")
    fun getPatientInfo(principal: Principal): String {
        return "Hello, ${principal.name}!"
    }
}

现在我的问题是：如何将Spring Boot应用程序中的endpoint与给定的资源相关联，以便在发出请求时评估权限？

Answer 1

“……如何将Spring Boot应用程序中的endpoint与给定资源相关联，以便在发出请求时评估权限？……”

举个例子，让我们说…

• 您的Keycloak服务器在端口8585上运行
• 您的应用程序服务器在端口8080上运行
• 您的领域命名为“MyRealm”
• 您的资源名为“my-client-resource”
• 您的角色名为“超级用户”

#port on which the application would run
server.port = 8080
keycloak.realm = myrealm
keycloak.auth-server-url = http://localhost:8585/auth
keycloak.ssl-required = none
#keycloak resource is the client ID
keycloak.resource = my-client-resource
keycloak.use-resource-role-mappings = true
keycloak.public-client = true
…
# Configures what ${principal.name} will return
keycloak.principal-attribute=preferred_username

…
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity( prePostEnabled = true )
@ComponentScan( basePackageClasses = KeycloakSecurityComponents.class )
public class SecurityConfiguration extends KeycloakWebSecurityConfigurerAdapter {

    @Override
    public void configure( HttpSecurity http ) throws Exception {
        super.configure( http );
    
        http.authorizeRequests( )
            .antMatchers( "/hello", "…" )
            .hasRole( "super-user" )
            .anyRequest( )
            .permitAll( );
    }
…
}

在没有更具体的应用程序和配置细节的情况下，以上只是一个草图。但这是一般的方法。

为了更具体地掌握上面的一般方法，请下载并使用我最近为另一个答案实现的这个MRE。