我的spring boot不能用KeyClope验证JWT令牌？

Question

我有一个Spring-Boot-keydeport项目，我发现Spring-Boot不能用keydeport验证JWT。例如，如果我从keydepeat获得一个令牌并关闭keydepeat，我仍然可以使用这个JWT令牌访问我的endpoint。我有这个安全配置程序类：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true, jsr250Enabled = true)
@RequiredArgsConstructor
public class KeycloakSecurityConfigurer extends WebSecurityConfigurerAdapter {

    private final RoleConverter converter;

    @Value("${spring.security.oauth2.keycloak.jwt.issuer-uri}")
    private String issuerUri;

    @Override
    public void configure(final HttpSecurity http) throws Exception {
        http.headers().frameOptions().disable()
            .and()
        .csrf().disable()
        .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
        .oauth2ResourceServer(
                oauth2ResourceServer -> oauth2ResourceServer.jwt(
                        jwt -> jwt.jwtAuthenticationConverter(jwtAuthenticationConverter())));
        
        http.authorizeRequests().antMatchers("/**").authenticated();
    }

    private Converter<Jwt, ? extends AbstractAuthenticationToken> jwtAuthenticationConverter() {
        JwtAuthenticationConverter jwtConverter = new JwtAuthenticationConverter();
        jwtConverter.setJwtGrantedAuthoritiesConverter(converter);
        return jwtConverter;
    }

    @Bean
    public JwtDecoder jwtDecoder() {
        return JwtDecoders.fromOidcIssuerLocation(issuerUri);
    }

}

“converter”没有什么特别的，只是从JWT令牌中提取角色并返回它们的列表。

如何强制Spring Security性验证JWT令牌？

application.yml：

spring:
   security:
      oauth2:
         keycloak:
            jwt:
               issuer-uri: http://localhost:8180/auth/realms/test-realm

Answer 1

JWT旨在离线验证，这是通常会发生的事情。接收应用程序（JWT的消费者）不需要不断访问授权服务器即可验证JWT。即使Spring不能与您的Keycloak通信，但这并不意味着令牌没有经过验证。正如其他人指出的那样，Spring缓存用于验证JWT签名的密钥，如果可以，它将使用缓存。

如果出于某种原因，您希望您的服务/API在线验证JWT（可能是因为您想实现撤销令牌的机制），您可以切换到使用令牌内省的不透明令牌。在每次请求时，您的服务都必须调用Keycloak将不透明令牌交换为JWT。请注意，此解决方案将使用更多资源，并且只有在您有充分理由的情况下才应该使用它。

Answer 2

JWT令牌已缓存在您的springboot应用程序中，这是默认缓存存储。为了从您的springboot应用程序中删除此令牌，请使用一些自定义缓存，例如在您的应用程序中配置的redis缓存，而不是默认缓存。没有可能删除存储在默认缓存中的令牌。只有在令牌中设置的超时后，令牌才会自动失效

Answer 3

您可以查看JwtDecoders的实现。

发生的情况是在您的应用程序启动时获取密钥，并且应用程序缓存它们以在之后执行验证。考虑到这一点，即使您关闭Keycloak，JWT仍然会被验证，因为密钥仍然被缓存。