Spring OAuthredirect_uri不使用https

Question

我有一个Spring Boot 1.3.0应用程序，其中包含Spring Security OAuth，作为一种SSO集成。

问题是，应用程序运行在非SSL环境中，负载平衡器（F5）后面有一个非标准端口，强制使用SSL，OAuth提供程序要求将所有重定向URL注册为https，但Spring OAuth客户端（使用@EnableOAuthso自动配置）将仅使用以下URL重定向到OAuth提供程序。。。

https：//[provider_host]/oauth/授权？client_id=[编辑]

请注意，return redirect\u uri生成为http。尽管F5会在返回的过程中强制它使用https，但我们的OAuth提供程序将不允许使用非SSL重定向URI。如何配置？

除了我的Spring Data JPA控制器，这是整个应用程序。。。

@SpringBootApplication(exclude = { HibernateJpaAutoConfiguration.class })
@EnableJpaRepositories
public class AppConfig extends SpringBootServletInitializer {

    public static void main(final String... args) {
        SpringApplication.run(AppConfig.class, args);
    }

    @Autowired
    public DataSource dataSource;

    @Bean(name = "entityManagerFactory")
    public LocalContainerEntityManagerFactoryBean getEntityManagerFactoryInfo() {
        final LocalContainerEntityManagerFactoryBean fac = new LocalContainerEntityManagerFactoryBean();
        fac.setDataSource(dataSource);
        fac.setJpaVendorAdapter(new HibernateJpaVendorAdapter());
        fac.setPackagesToScan("[redact]");

        final Properties props = new Properties();
        props.put("hibernate.dialect", "org.hibernate.dialect.SQLServerDialect");
        props.put("hibernate.show_sql", "true");
        props.put("hibernate.format_sql", "true");
        fac.setJpaProperties(props);

        return fac;
    }

    @Bean(name = "transactionManager")
    public PlatformTransactionManager getTransactionManager() {
        final JpaTransactionManager transactMngr = new JpaTransactionManager();
        transactMngr.setEntityManagerFactory(getEntityManagerFactoryInfo().getObject());
        return transactMngr;
    }

}

@Configuration
@EnableOAuth2Sso
public class SecurityConfig {

}

server.port=9916
server.contextPath=

server.use-forward-headers=true

security.oauth2.client.clientId=[redact]
security.oauth2.client.clientSecret=[redact]
security.oauth2.client.scope=[redact]
security.oauth2.client.accessTokenUri=https://[provider_host]/oauth/token
security.oauth2.client.userAuthorizationUri=https://[provider_host]/oauth/authorize
security.oauth2.resource.userInfoUri=https://[provider_host]/oauth/me
security.oauth2.resource.preferTokenInfo=false

logging.level.org.springframework=TRACE

Answer 1

我的答案是针对使用最新spring版本的人的，因为上面建议的答案对我并不适用。我使用的是Spring Boot 2.3.5。释放

我也有同样的问题，我正在使用Azure AD进行oauth2身份验证。我的应用程序运行在反向代理之后，形成的重定向uri采用http而不是https。

阅读文档后https://docs.spring.io/spring-security/site/docs/5.2.x/reference/html/oauth2.html#oauth2Client-身份验证代码重定向uri，我在应用程序的下面一行添加了它。属性文件，它对我有用

spring.security.oauth2.client.registration.azure.redirect-uri=https://{baseHost}{basePort}{basePath}/login/oauth2/code/azure

Answer 2

您可能需要确保应用程序理解负载平衡器的x转发头。

将其放入我的应用程序中。yml解决了我在AWS ELB后面的应用程序中遇到的类似问题：

server:
  tomcat:
    remote-ip-header: x-forwarded-for
    protocol-header: x-forwarded-proto

编辑：这可以通过更通用的配置来简化：

server:
  use-forward-headers: true

对于Apache Tomcat，请在服务器中使用RemoteIpValve。xml（以上为AccessLogValve）：

    <Valve className="org.apache.catalina.valves.RemoteIpValve" 
        protocolHeader="X-Forwarded-Proto" />

另请参见：https://tomcat.apache.org/tomcat-7.0-doc/api/org/apache/catalina/valves/RemoteIpValve.html.

Answer 3

在手动挖掘配置类之后，我能够找到并添加以下内容，这就成功了。。。

security.oauth2.client.pre-established-redirect-uri=https://[application_host]/login
security.oauth2.client.registered-redirect-uri=https://[application_host]/login
security.oauth2.client.use-current-uri=false

我不相信没有更好的方法来解决强制HTTPS重定向URL的问题，但这个修复对我来说很有效。