使用oAuth2ResourceServer配置antMatcher

Question

我的目标是通过以下方式配置Spring Security：

• 任何以private开头的路由都应该通过Spring Boot oauth2ResourceServer进行身份验证

我已经尝试了下面的代码，但这给我的问题是它也试图验证私有路由以外的其他路由。

@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.cors().and()
                .authorizeRequests()
                .antMatchers("/private/**").authenticated()
                .antMatchers("/**").permitAll()
                .and()
                .oauth2ResourceServer().jwt();

      }

}

我的依赖项是：

• 组织。springframework。启动：spring-boot-starter-oauth2-resource-server:2.6.2
• 组织。springframework。启动：Spring启动启动安全：2.6.2
• 组织。springframework。启动：spring boot starter web:2.6.2

有什么想法吗？

Answer 1

结果是被csrf保护阻止，该保护在spring security中默认打开。

以下内容对我来说很有效：

@Override
public void configure(HttpSecurity http) throws Exception {
    http
            .cors().and()
            .csrf().disable()
            .authorizeRequests()
            .mvcMatchers("/private/**").authenticated()
            .mvcMatchers("/**").permitAll()
            .and()
            .oauth2ResourceServer().jwt();
}

请注意，要使其工作，您需要在应用程序中指定以下内容。属性。

spring.security.oauth2.resourceserver.jwt.jwk-set-uri

例如，在google oauth2的情况下，这是：

spring.security.oauth2.resourceserver.jwt.jwk-set-uri=https://www.googleapis.com/oauth2/v3/certs

这指向用于验证您的令牌的JSON Web密钥（JWK）。您的令牌应以以下形式作为授权标头发送到您的Spring服务器：

bearer {{your token here}}