在不使用基本身份验证的情况下吊销Oauth2令牌

Question

我试图使用Spring cloud Oauth2实现Oauth-2.0-Cookbook一书中的示例。

我设法实现了他的功能，但不幸的是，我面临一个问题：为了进行成功的调用，我必须提供基本的身份验证凭据(授权:basic ywrtaw46cxdlcnr5):

@PostMapping("/oauth/revoke")
public ResponseEntity<String> revoke(@RequestParam Map<String, String> params) {
    RevocationService revocationService = revocationServiceFactory
            .create(params.get("token_type_hint"));

    revocationService.revoke(params.get("token"));

    return ResponseEntity.ok().build();
}

Github源

我喜欢在POST请求撤销令牌时进行某种身份验证的想法，但我不认为Angular SPA应用程序应该始终保留用户名和密码，以便成功调用/oauth/revoke。

一般情况下，Google上的解决方案只有一个endpoint，它只接受令牌。对于那种情况，我不知道什么解决办法才是合适的。

如何将基本的身份验证功能移除到Spring Cloud OAuth2中？我使用以下安全配置：

http
            .csrf()
            .disable()
            .authorizeRequests()
                .anyRequest().authenticated()
                .and()
            // Configure token authentication permissions
            .requestMatchers().antMatchers(HttpMethod.POST,"/oauth/token")
                .and()
            // Configure token revoke permissions
            .requestMatchers().antMatchers(HttpMethod.POST,"/oauth/revoke")
                .and()
            .httpBasic()
                .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

Github来源：

Answer 1

您可以像这样禁用revoke终结点的自动验证

http
...
.authorizeRequests()
.antMatchers("/oauth/revoke").permitAll()
...