如何在没有身份验证的情况下实现安全的REST api以及springboot会话和Spring Security性

Question

问题：我的java springboot应用程序从外部系统接收JWT令牌，以便用外部身份管理提供程序对用户进行身份验证，该提供程序在成功时返回用户详细信息。一旦接收到userdetails，后端应用程序必须为外部系统最终用户创建一个重定向url。重定向url将使用户登陆到我的angular应用程序上，以显示登陆页面。在这里，应该允许所有rest API通过http会话。如果用户试图直接访问rest API，他应该得到一个身份验证错误。

在这种情况下，我们如何实现授权，因为我的spring boot应用程序没有完成身份验证。我们可以使用Spring security创建自定义Spring会话并手动将userDetails放入SecurityContext中吗？

Answer 1

我目前正在处理从谷歌获得的JWT代币。包括Google，几乎所有的授权服务器都提供rest API，例如GET/userinfo，在这里您可以将JWT令牌作为GET参数放在请求头或URL中，然后验证JWT令牌是否有效、是否过期等。

因为验证JWT令牌通常是无状态的，所以这些API通常有很大的限制，您可以根据需要调用它们的次数。

我假设您已经集成了Spring security，然后可以添加过滤器。这样，每个请求都必须在报头中验证其令牌。

@Service
public class TokenAuthenticationFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        try {
       String header = request.getHeader("Authorization");
            RestTemplate restTemplate = new RestTemplate(); // If you use Google SDK, xxx SDK, you do not have to use restTemplate 
            String userInfoUrl = "https://example.com/api/userInfo";

            HttpHeaders headers = new HttpHeaders();
            headers.set("Authorization", header);

            HttpEntity entity = new HttpEntity(headers);

            ResponseEntity<String> response = restTemplate.exchange(
                    userInfoUrl, HttpMethod.GET, entity, String.class, param);

            User user = response.getBody(); // Get your response and figure out if the Token is valid.

             // If the token is valid? Check it here....

                UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(user, null, user.getAuthorities());
                authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));

                SecurityContextHolder.getContext().setAuthentication(authentication);
            
        } catch (Exception ex) {
            logger.error("Could not set user authentication in security context", ex);
        }

        filterChain.doFilter(request, response);
    }
}