Spring Security OAuth2:如何添加ResourceServerConfigurer类型的多个安全筛选器链？

Question

我用Spring Security Oauth2建立了一个Spring Boot多模块（5个模块）应用程序。所有的工作都很好，但是随着应用程序的不断增长，我希望将每个模块中的安全部分分开。主模块支持所有功能：

@SpringBootApplication
@EnableResourceServer
@EnableAuthorizationServer
@EnableWebSecurity(debug = true)
public class Application {  
  ...
}

现在，在每个模块中，我定义了ResourceServerConfigureer类型的bean

@Configuration
@Order(2)
public class Module1SecurityFilterChain extends ResourceServerConfigurerAdapter {

   @Override
   public void configure( HttpSecurity http ) throws Exception {
      http.sessionManagement().sessionCreationPolicy( STATELESS );
      http.antMatcher( "/module1/**")
            .authorizeRequests()
            .antMatchers( "/module1/resource").authenticated()
            .antMatchers( "/module1/test" ).authenticated()
            .anyRequest().access( "#oauth2.hasScope('webclient')" );
   }
}

@Configuration
@Order(1)
public class Module2SecurityFilterChain extends ResourceServerConfigurerAdapter {

   @Override
   public void configure( HttpSecurity http ) throws Exception {
      http.sessionManagement().sessionCreationPolicy( STATELESS );
      http.antMatcher( "/module2/**")
            .authorizeRequests()
            .antMatchers( "/module2/resource").authenticated()
            .antMatchers( "/module2/test" ).authenticated()
            .anyRequest().access( "#oauth2.hasScope('webclient')" );
   }
}

问题是只有一个FilterChain被注册，即@order(2)。我查看了ResourceServerConfigureer的文档，它指出：

...如果多个配置相同的preoperty,则最后一个获胜。配置程序在应用之前按顺序排序

我怎样才能绕过这个限制呢？多谢.

@Configuration
@Order(1)
public class Module2SecurityFilterChain extends WebSecurityConfigurerAdapter {...}

似乎注册了过滤器链，但有另一个问题，当我验证一个用户（在/oauth/token上获取令牌）时，我无法访问受此链保护的资源，我得到了一个403禁止。这个黑匣子是怎么工作的？

Answer 1

您可以通过使用requestmatchers().antmatchers（string...）跨多个bean配置多个匹配器，如下所示：

@Configuration
public class Module2SecurityFilterChain extends ResourceServerConfigurerAdapter {

   @Override
   public void configure(HttpSecurity http) throws Exception {
       http
           .requestMatchers()
               .antMatchers("/module2/**")
           .authorizeRequests()
               .antMatchers("/module2/resource").authenticated()
               .antMatchers("/module2/test").authenticated()
               .anyRequest().access("#oauth2.hasScope('webclient')");
   }
}

这有点让人困惑，但是当您调用http.antmatcher(String)时，这意味着您只想针对一个endpoint进行匹配。因此，调用它两次（一次在Module1SecurityFilterChain中，然后在Module2SecurityFilterChain)时，第二次调用将覆盖第一次调用。

但是，使用http.requestmatchers().antmatchers(String)指示应将给定的String添加到已匹配的现有endpoint列表中。您可以认为antmatcher有点像“setmatcher”，而antmatcher像“appendmatcher”。