Keycloak安全的Spring Boot应用程序：尝试配置公共可用页面

Question

我们有一个Keycloak服务器来保护我们的Spring Boot应用程序。到目前为止效果很好。然而，我们现在需要一个忘记密码页面，这必须是可访问的，无需登录当然。我们无法做到这一点。我们正在实现KeycloakWebSecurityConfigurerAdapter并重写Configure(HttpSecurity)方法。实现如下所示：

super.configure(http);
http.csrf().disable()
    .exceptionHandling()
    .accessDeniedPage("/accessDenied");
http.anonymous.disable();
http.authorizeRequests();

仅使用该代码，除了根页面之外，实际上每个页面都可以自由访问。只要我们在antmatcher()或anyrequest()方法后面加上permitall()或fullyauthenticated()的调用，就可以区分允许和不允许的页面，所有页面都是安全/不允许的。我们玩了很多，试图在这里和其他任何地方找到帮助，但没有找到解决方案。当前实现的示例是：

http.authorizeRequests().antMatchers(HttpMethod.GET, "/public/forgotPassword").permitAll()
        .anyRequest().fullyAuthenticated();

如前所述，结果是每个页面都需要身份验证，Public/ForgotPassword页面也需要身份验证。有人知道问题可能是什么吗？

Answer 1

我实现了这个springboot.keycloak.mre¹以一种简化的方式演示我以前的一个项目是如何实现我认为您的请求的。

简而言之，解决方案的要点是…

…
public class SecurityConfiguration extends KeycloakWebSecurityConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        
        super.configure(http);
    
            http.authorizeRequests().antMatchers("/login", "/login.html")
                   .permitAll().antMatchers("/dashboard", "/dashboard.html")
                     .authenticated();              
    }
    …
}

构建和运行MRE的步骤非常简单。但如果你在建造或运行它时遇到困难，请让我知道我是否能以任何方式帮助你。