使用spring boot app作为资源服务器，使用google oauth2作为授权服务器

Question

我有一个Web应用程序，前端使用angular6，其余api使用Spring启动。

我的angular应用程序运行在localhost:4200上，能够通过google成功验证，我可以看到authToken和idToken。（我在angularx中使用了angularx社交登录插件）

现在，我想使用这个身份验证令牌来保护在localhost:8080上运行的spring boot api服务器。

我尝试了使用EnableResourceServer注释和许多不同的方法，但似乎没有任何效果。它总是通过检查内存中的令牌存储来给我提供无效的令牌，甚至没有尝试通过google验证正确的令牌。

我在spring应用程序和angular应用程序中为oauth2配置使用相同的客户端id和密码。

如何让spring boot应用程序针对每个请求使用google验证令牌？

我的申请。属性

server.servlet.context-path=/api

spring.h2.console.enabled=true
spring.datasource.url=jdbc:h2:file:~/h2/testdb

logging.level.org.springframework.web=TRACE
logging.level.org.springframework.security=TRACE
logging.level.org.hibernate=TRACE

security.oauth2.resource.filter-order = 3
spring.security.oauth2.client.registration.google.client-id=#google-client-id
spring.security.oauth2.client.registration.google.client-secret=#google-client-secret    
security.oauth2.resource.user-info-uri= https://www.googleapis.com/oauth2/v3/userinfo # URI of the user endpoint.

这是我的资源服务器配置类

@Configuration
@EnableResourceServer
public class OAuth2ResourceServerConfig extends ResourceServerConfigurerAdapter {

    private static final String RESOURCE_ID = "rest_api";

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) {
        resources.resourceId(RESOURCE_ID).stateless(false);
    }
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
                .requestMatcher(new RequestHeaderRequestMatcher("Authorization"))
                .authorizeRequests().anyRequest().fullyAuthenticated();
    }

    @EnableGlobalMethodSecurity(prePostEnabled = true)
    protected static class GlobalSecurityConfiguration extends GlobalMethodSecurityConfiguration {
        @Override
        protected MethodSecurityExpressionHandler createExpressionHandler() {
            return new OAuth2MethodSecurityExpressionHandler();
        }
    }
}

Answer 1

希望您已经找到了解决方案。否则，请看看这篇文章。

另请注意：您正在声明资源是有状态的

resources.resourceId(RESOURCE_ID).stateless(false);

您是否尝试过无状态使用它？

resources.resourceId(RESOURCE_ID).stateless(true);