Spring OAuth筛选器链&Java配置

Question

我正在尝试将spring-security-oauth添加到一个带有spring-security的现有应用程序中。我正在使用Java配置。

我有一个已修改的筛选器链（添加了一些自定义筛选器），但是对'/oauth/token'的请求没有使用它，而是使用了'default'筛选器链。如何访问保护oauthendpoint的筛选器链，以便也可以在那里使用自定义筛选器，或者将oauthendpoint连接到现有设置中？

Answer 1

使用authorizationServerConfigureer接口确实有一种稍微平滑一些的方法。您可以坚持注释@enableauthorizationServer并在配置文件中实现上述接口。这将使您能够通过执行如下操作来更改oauth2-filter-chain：

@Configuration
@EnableWebSecurity
@EnableAuthorizationServer
public class SecurityConfig extends WebSecurityConfigurerAdapter 
implements AuthorizationServerConfigurer
    // some configuration ...

    public void configure(AuthorizationServerSecurityConfigurer oauthSecurity) throws Exception {
        oauthSecurity.addTokenEndpointAuthenticationFilter(new YourFilter());
    }

    // more configuration ...
}

与HttpSecurity的AddFilterXyx方法相比，在这里筛选器将位于筛选器链中的位置，您没有细粒度的影响。由AddTokenEndpointAuthenticationFilter添加的任何筛选器都将插入到BasicAuthenticationFilter之前。

如果需要以更详细的方式控制过滤器的位置，可以创建扩展authorizationServerConfigurerAdapter的bean，而不是使用注释@enableauthorizationServer。我没有尝试过，但我想您可以像systemfreund建议的那样扩展AuthorizationServerSecurityConfiguration，而不必指定@order(-1)，因为只有您的自定义配置才会被导入。您可能还需要@importauthorizationServerEndpointsConfiguration，就像方便注释@enableauthorizationServer中所做的那样。