让Spring Security“JWT登录示例”与角色一起使用

Question

我正在尝试将之前的一个示例改写为基于Springs new authorization server的简化版本，该示例使用JWT的自定义JWT过滤器构建，该示例如下：https://github.com/spring-projects/spring-security-samples/tree/main/servlet/spring-boot/java/jwt/login

该示例使用单个用户设置InMemoryUserDetailsManager→ 用户、密码和“应用程序”权限，所以我假设它是为处理角色/权限而设计的？

如果我使用提供的SecurityFilterChain，一切正常（如示例README中所述）但如果我更改此：

...
http.authorizeHttpRequests((authorize) -> authorize
    .anyRequest().authenticated()
)

进入这个

...
http.authorizeHttpRequests((authorize) -> authorize
    .antMatchers("/").hasRole("app")
    //.antMatchers("/").hasAuthority("app")
    .anyRequest().authenticated()
)

我恢复了403状态，权限按预期添加到JWT中，如下所示：

  ..
  "scope": "app"
}

除了上面给出的antMatcher之外，我的代码与Spring Security示例的克隆完全一样

我错过了什么？

Answer 1

要使用hasRole，您需要具有以ROLE_开头的权限。您可以做的是注册一个转换器，该转换器将从JWT读取角色并将它们添加为Granted授权。

public class RolesClaimConverter implements Converter<Jwt, AbstractAuthenticationToken> {

    private final JwtGrantedAuthoritiesConverter wrappedConverter;

    public RolesClaimConverter(JwtGrantedAuthoritiesConverter conv) {
        wrappedConverter = conv;
    }

    @Override
    public AbstractAuthenticationToken convert(@NonNull Jwt jwt) {
        // get authorities from wrapped converter
        var grantedAuthorities = new ArrayList<>(wrappedConverter.convert(jwt));
        // get role authorities
        var roles = (List<String>) jwt.getClaims().get("roles");
        if (roles != null) {
            for (String role : roles) {
                grantedAuthorities.add(new SimpleGrantedAuthority("ROLE_" + role));
            }
        }

        return new JwtAuthenticationToken(jwt, grantedAuthorities);
    }
}

然后在安全配置中注册转换器

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .oauth2ResourceServer(resourceServer -> resourceServer
            .jwt()
            .jwtAuthenticationConverter(
                 new RolesClaimConverter(
                     new JwtGrantedAuthoritiesConverter()
                 )
            )
        )
        // other configuration
    ;
    return http.build();
}

就这样。您现在需要做的就是在创建JWT时传递一个角色列表作为声明，您可以使用。蚂蚁匹配器（“/”）。hasRole（“应用程序”）和预授权（“hasRole（“应用程序”）”）。

Answer 2

好的，请阅读规格；-）符合https://docs.spring.io/spring-security/reference/reactive/oauth2/resource-server/jwt.html权限以作用域为前缀_

因此，这部分解决了问题。蚂蚁匹配器（“/”）。hasAuthority（“SCOPE\u app”）

我还没有弄清楚如何使用hasRoles？