使用Spring Security OAuth2交换访问令牌请求的JWT承载

Question

null

实现基于Spring Boot with Spring Security(OAuth2)。我有以下工作2LA流程：

1. RP可以使用client_secret和grant_type=client_credential向AS发送访问令牌请求。
2. AS使用访问令牌响应RP。
3. RP能够使用所述接入令牌向RS发出授权请求。
4. RS能够使用AS上的/check_tokenendpoint验证访问令牌。

问题：在上面的步骤1中，我需要对我的AS进行哪些更改，以便它接受基于JWT的访问令牌请求？

RP OAuth2客户端配置：

@Configuration
@EnableOAuth2Client
open class OAuth2ClientConfiguration {

    val tokenUrl = "http://localhost:8180/oauth/token"

    @Bean
    open fun resource(): OAuth2ProtectedResourceDetails {
        return ClientCredentialsResourceDetails().apply {
            clientId = "demo-rp"
            clientSecret = "rp-secret"
            grantType = "client_credentials"
            scope = listOf("quotes")
            accessTokenUri = tokenUrl
        }
    }

    @Bean
    open fun restTemplate(): OAuth2RestOperations {
        return OAuth2RestTemplate(
                resource(),
                DefaultOAuth2ClientContext(DefaultAccessTokenRequest()))
    }

}

作为OAuth2配置：

@Configuration
@EnableAuthorizationServer
open class OAuth2Configuration : AuthorizationServerConfigurerAdapter() {

    @Autowired
    val authenticationManager: AuthenticationManager? = null

    override fun configure(security: AuthorizationServerSecurityConfigurer) {
        // @formatter:off
        security
        .tokenKeyAccess("isAnonymous() || hasAuthority('ROLE_TRUSTED_CLIENT')")
        .checkTokenAccess("hasAuthority('ROLE_TRUSTED_CLIENT')")
        // @formatter:on
    }

    override fun configure(clients: ClientDetailsServiceConfigurer) {
        // @formatter:off
        clients.inMemory()
        .withClient("demo-rp")
            .authorizedGrantTypes("client_credentials")
            .authorities("ROLE_CLIENT", "ROLE_TRUSTED_CLIENT")
            .scopes("quotes")
            .secret("rp-secret")
            .accessTokenValiditySeconds(60)
        .and()
        .withClient("demo-rs")
            .authorizedGrantTypes("client_credentials")
            .authorities("ROLE_CLIENT", "ROLE_TRUSTED_CLIENT")
            .secret("rs-secret")
            .accessTokenValiditySeconds(60)
        // @formatter:on
    }

    override fun configure(endpoints: AuthorizationServerEndpointsConfigurer) {
        // @formatter:off
        endpoints
        .authenticationManager(authenticationManager)
        // @formatter:on
    }
}

Answer 1

最后，我使用Nimbus OAuth2 SDK编写了一个客户端，该客户端发送了一个基于JWT的访问令牌请求。这是RP的一部分。

在AS中，我添加了一个jWTTokenEndpointAuthenticationFilter，它检查ServletRequest并使用手写的AuthenticationProvider执行身份验证。

这里的示例为代码。此处为RP代码示例。