OAuth2 JWT授权-Spring SecurityXML配置问题#OAuth2。哈斯考普

Question

我需要将XML配置用于我的Spring Security实现的某些部分。目前我所关心的只是JWT授权，JWT被传递给我。使用Spring Security我确定用户是否被授权访问REST APIendpoint。我不能使用Java配置或@PreAuthorize注释。

仅供参考，当我最初使用@PreAuthorize或类似的方法时：. antMatcher（"/学生/**"）. access（"#oauth2.hasScope（'Scope： Admin'）"）；

一切正常。当我被迫迁移到XML配置并使用安全：拦截-url方法时，这个问题出现了。

我遇到的错误是：

"消息"："无法计算表达式'#oauth2.hasScope（'Scope： Admin'）'"

例外情况是：

Java语言lang.IllegalArgumentException：无法计算表达式#oauth2。hasScope（'Scope:Admin'）”
位于组织。springframework。安全通道表示表达式实用程序。evaluateAsBoolean（ExpressionUtils.java:30）~[spring-security-core-5.0.3.RELEASE.jar:5.0.3.RELEASE]
。。。为了简洁起见，正在删除异常spew<原因：组织。springframework。表示spel。SpelEvaluationException:EL1011E：方法调用：尝试在空上下文对象上调用方法hasScope（java.lang.String）

XML配置：

<!-- only enable this when deving -->
<!-- <security:debug /> -->  


<bean id="securityConfig"
    class="com.wmay.config.SecurityConfig">
</bean>

<bean id="resourceServerConfig"
    class="com.wmay.config.ResourceServerConfig">
</bean> 


 <bean id="methodSecurityConfig"
    class="com.wmay.config.MethodSecurityConfig">
</bean>

<security:http pattern="/**" use-expressions="true" auto-config="true">
    <security:intercept-url pattern="/students/**"
            access="#oauth2.hasScope('Scope:Admin')"/>
</security:http>

代码段：

@Override 
public void configure(HttpSecurity httpSecurity) throws Exception {     log.info("Configuring HttpSecurity");       
    httpSecurity.csrf().disable();  httpSecurity.cors().configurationSource(corsConfigurationSource());     
    //@// @formatter:off    
    httpSecurity
                .requestMatchers()
                .and().authorizeRequests()
                .antMatchers("/actuator/**").permitAll()
                .antMatchers(HttpMethod.OPTIONS, "/**").permitAll();    
    // @formatter:on 
    }

@Override
protected MethodSecurityExpressionHandler createExpressionHandler() {
    log.info(
            "Enabling OAuth2 Method Expression Handler.");
    return new OAuth2MethodSecurityExpressionHandler();
}

Answer 1

我想出来了。我需要在XML配置文件中添加更多条目。

<bean id="oauth2AuthenticationEntryPoint" 
    class="org.springframework.security.oauth2.provider.error.OAuth2AuthenticationEntryPoint" />
<oauth2:resource-server id="resourceServerFilter" 
        resource-id="${security.jwt.resource-ids}" token-services-ref="tokenServices"/>
<oauth2:web-expression-handler id="oauth2WebExpressionHandler" />


<security:http 
        pattern="/**"       
        entry-point-ref="oauth2AuthenticationEntryPoint"        
        authentication-manager-ref="authenticationManager"
        use-expressions="true"
        create-session="stateless">
        <security:intercept-url pattern="/students/**"
            access="#oauth2.hasScope('Scope:Admin')" />     
        <security:custom-filter ref="resourceServerFilter" before="PRE_AUTH_FILTER" />
        <security:expression-handler ref="oauth2WebExpressionHandler" />
    </security:http>