负载平衡器后面的SpringOAuth2 SSO

Question

我有一个非常简单的Spring Boot应用程序，具有社交单点登录功能。

看起来是这样的：

@Configuration
@EnableOAuth2Sso
class Application {
  // beans
}

它在应用程序中有必需的条目。yml：

security:
  oauth2:
    client:
      # clientId: ...
      # clientSecret: ...
      accessTokenUri: https://www.googleapis.com/oauth2/v3/token
      userAuthorizationUri: https://accounts.google.com/o/oauth2/auth
      tokenName: oauth_token
      authenticationScheme: query
      clientAuthenticationScheme: form
      scope: email
    resource:
      userInfoUri: https://www.googleapis.com/userinfo/v2/me
      preferTokenInfo: false

它在我的本地机器上运行得很好，并且只启动了一个实例。

当有多个实例隐藏在负载平衡器后面时，就会出现问题。

即使用户在第一个请求中进行身份验证，向负载均衡器发出的后续请求也会因401而被阻止。

与第一个应用程序实例相比，请求被路由到不同的应用程序实例。

我正在试图弄清楚，如何使用JWT或JDBC使其无状态，以便它跨多个实例工作。不幸的是，我在网上没有找到任何有效的例子。

其中有些需要启动授权服务器。但这不是我的情况，因为我想将授权完全转发给第三方提供商（如谷歌）。

在这种情况下，我应该怎么做才能使授权跨多个实例工作？

Answer 1

Spring仅在cookie中存储会话的ID，但数据位于Web服务器上的某个位置（tomcat？）并由此id获取。当您的请求击中其他tomcat实例时，它无法将id连接到数据。您可以做的是查看使用redis而不是特定实例文件系统的Spring会话项目。

另一种方法是在LB上使用粘性会话，我不建议这样做，但可能适合您的解决方案。LB会小心地将用户请求一次又一次地传递给同一服务器。当然，这不是安全的解决方案，因为当Web服务器死亡时，您的用户将丢失会话/从应用程序注销。