Spring Security OAUTH2-InfallyentAuthenticationException：需要身份验证才能获得访问令牌（不允许匿名）

Question

我试图理解为什么客户端中的匿名用户不能获得访问令牌。

我在Spring博客上找到了这篇关于这个主题的帖子，Dave Syer对此做出了回答：

请记住，这是一个与客户端应用程序有关的问题，而不是auth服务器，所以请尝试从cllient的角度来看它。在步骤1。有一个用户试图访问受保护的资源。如果您不能对该用户进行身份认证，那么您的所有用户最终都将获得相同的访问令牌（第一个用户使用他在auth服务器上的凭据获得的访问令牌）。这绝对是个坏主意。

    Authentication auth = SecurityContextHolder.getContext().getAuthentication();

    if (auth instanceof AnonymousAuthenticationToken) {
        if (!resource.isClientOnly()) {
            throw new InsufficientAuthenticationException(
                    "Authentication is required to obtain an access token (anonymous not allowed)");
        }
    }

Answer 1

我相信这不是真的与会议有关。Dave的意思可能是在spring上下文中只能有一个匿名用户。对我来说，匿名用户这个术语为什么会存在一直是个谜，但它的故事不同。

查看JDBCClientTokenServices类中GetAccessStoken方法的代码

public OAuth2AccessToken getAccessToken(OAuth2ProtectedResourceDetails resource, Authentication authentication) {

    OAuth2AccessToken accessToken = null;

    try {
        accessToken = jdbcTemplate.queryForObject(selectAccessTokenSql, new RowMapper<OAuth2AccessToken>() {
            public OAuth2AccessToken mapRow(ResultSet rs, int rowNum) throws SQLException {
                return SerializationUtils.deserialize(rs.getBytes(2));
            }
        }, keyGenerator.extractKey(resource, authentication));
    }
    catch (EmptyResultDataAccessException e) {
        if (LOG.isInfoEnabled()) {
            LOG.debug("Failed to find access token for authentication " + authentication);
        }
    }

    return accessToken;
}

它在数据库中使用序列化身份验证。因此，即使在不同的会话中，它也将使用相同的匿名用户来加载令牌，有效地加载了完全相同的令牌。

在authorization_codeoauth2流中，您需要code来获取令牌（因此，第一步是请求代码，只有在授权用户之后才会给出代码-在此步骤中，用户可能会被重定向到比如说facebook）。第二步是通过给出代码来获取标记。code在db中具有有限授权，因此spring知道谁是新令牌的所有者：

\d+ oauth_code;
                                                     Table "mydb.oauth_code"
     Column     |          Type          |                        Modifiers                        | Storage  | Stats target | Description
----------------+------------------------+---------------------------------    ------------------------+----------+--------------+-------------
 id             | integer                | not null default     nextval('oauth_code_id_seq'::regclass) | plain    |              |
 authentication | bytea                  |                                                         | extended |              |
 code           | character varying(255) |                                                         | extended |              |

因此，总而言之，如果您要用相同的令牌填充OAuth2ClientContext，那么将Session或Request带范围的OAuth2ClientContext将没有帮助。