Spring Security OAuth-如何禁用登录页面？

Question

我想使用OAuth 2使用Spring Security性保护我的应用程序。但是，我不希望服务器重定向传入的未经授权的请求，而是使用HTTP 401进行响应。可能吗？

示例：此代码将请求重定向到默认登录页面。

应用属性

spring.security.oauth2.client.registration.google.client-id=...
spring.security.oauth2.client.registration.google.client-secret=...

AuthConfig。JAVA

@Configuration
public class AuthConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/secured/**").authenticated()
            .anyRequest().permitAll()
            .and()
            .oauth2Login();


        // https://stackoverflow.com/questions/31714585/spring-security-disable-login-page-redirect
        // deos not work
        // .and()
        // .formLogin().successHandler((request, response, authentication) -> {});
    }
}

Answer 1

我想通过解释显然目前首先，当有多个配置的OAuth2提供程序时会显示默认登录页面来扩展Petr的回答。我预计Spring Boot会有一个聪明的技巧来轻松绕过此页面并自动选择正确的提供程序，例如基于原始请求中提供程序的客户端ID的存在。我艰难地发现事实并非如此。所以做到这一点的方法是...这不是很明显的为失败提供自定义处理程序的技巧——它将根据原始HTTP请求URL将用户重新引导到每个提供程序的正确OAuth2endpoint。我尝试了这个并且它起作用了，我花了一整天尝试其他解决方案的所有方式——我最初的场景是将附加参数传递给OAuth2方案，以便能够在成功身份验证后将它们找回来——他们过去常常这样做将Base64编码的信息附加到“state”URL请求参数中，但Spring Security目前不允许这样做。因此，唯一的替代方案是使用已经存在的这些参数调用受Spring Security保护的URL，因此当成功进行身份验证时，会在这些参数完好无损的情况下再次自动访问该URL。

相关：多个登录endpointSpring Security OAuth2

Answer 2

您需要设置oauth2Login。在HttpSecurityconfig中登录页面，并创建一个控制器映射，以返回所需的任何内容。下面是一个简单的例子。

所以在你的安全配置中

http
 .authorizeRequests()
    .antMatchers("/noauth").permitAll()
  .oauth2Login()
    .loginPage("/noauth")

在控制器里

@GetMapping("/noauth")
public ResponseEntity<?> noAuth() {
    Map<String, String> body = new HashMap<>();
    body.put("message", "unauthorized");
    return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body(body);
}

您可以将map或pojo传递给body方法。

Answer 3

您需要创建新的身份验证切入点并在配置中进行设置。

@Configuration
public class AuthConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.exceptionHandling()
            .authenticationEntryPoint(new AuthenticationEntryPoint())
            .and()
            .authorizeRequests()
            .antMatchers("/secured/**").authenticated()
            .anyRequest().permitAll()
            .and()
            .oauth2Login();
    }
}

public class AuthenticationEntryPoint extends LoginUrlAuthenticationEntryPoint {    
    public AuthenticationEntryPoint()  {
        super("");
    }

    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException {
        response.sendError(401, "Unauthorized");
    }
}