如何使用Azure AD B2C保护Spring Boot REST API？

Question

我将Spring Boot 2.2.0与azure-active-directory-b2c-Spring-Boot-starter一起使用。我设法用它（按照他们的教程）获得了一个Thymeleaf网页。现在，我想要一个REST API，它以同样的方式受到保护，因为实际的应用程序将是一个移动应用程序，它对我的Spring Boot后端进行REST调用。

我已经找到了如何使用密码授权流获取令牌的方法：

POST https://<my-tenant-id>.b2clogin.com/<my-tenant-id.onmicrosoft.com/oauth2/v2.0/token?p=B2C_1_<my-custom-policy>

（以用户名和密码为参数）

所以一个移动应用可以使用这个电话。但是我应该如何配置我的Spring Boot应用程序，以便使用Authorization:Bearer

更新：

我试着加上：

<dependency>
  <groupId>org.springframework.security.oauth</groupId>
  <artifactId>spring-security-oauth2</artifactId>
  <version>2.3.7.RELEASE</version>
</dependency>

与：

@EnableResourceServer
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class OAuth2ResourceServerConfiguration extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.resourceId("my-azure-b2c-test");
    }

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/api/**")
            .authenticated();
    }
}

但当我在我的Spring Boot应用程序上执行请求时，我会得到一个带有“invalid_token”错误的401。




Answer 1

一旦你知道了，解决方法似乎很简单。

首先，添加以下依赖项：

        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-oauth2-resource-server</artifactId>
            <version>5.2.0.RELEASE</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-oauth2-jose</artifactId>
            <version>5.2.0.RELEASE</version>
        </dependency>

接下来指定Spring。安全oauth2。资源服务器。jwt。jwk在应用程序中设置uri属性。属性文件。

要知道该值，请在https上执行GET（使用cURL或其他工具）：//

这将返回一个带有jwks_uri值的JSON正文。将该值放入应用程序中。属性文件。

现在在项目中创建这个Java类：

import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.annotation.web.configurers.oauth2.server.resource.OAuth2ResourceServerConfigurer;

@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/api/**")
            .authenticated()
            .and()
            .oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt);
    }
}

如果现在有这样的控制器：

@RestController
public class ApiController {

    @GetMapping("/api/test")
    public String apiTest(@AuthenticationPrincipal Principal principal) {
        return "test " + principal;
    }
}

如果使用正确的Authorization头（类型为org.springframework.security.oauth2.server.resource.authentication.JwtAuthenticationToken）进行GET onapi/test，您将看到主体不是空的

唯一不幸的是校长没有权威，这是我仍然需要弄清楚的原因。