NullPointer试图在Spring Boot中使用KeyClope获取用户信息

Question

我在REST应用程序中使用Keycloak，带有spring-boot。它工作正常，我在Keycloak中定义了角色，然后在我的Config.class我允许根据每个用户的角色访问我感兴趣的endpoint。我在尝试检索我后面的用户信息时遇到问题（姓名、委托人、权限...）。

我读过很多这样的帖子：

如何从钥匙中获取主体斗篷-安全-Spring-引导-应用程序

空指针-当-固定-Spring-引导-Rest-服务-带-键斗篷

但我找不到适合我的。如果使用SecurityContext或keydovearthenticationtoken，调用getAuthentication方法时会得到null。

在我的代码中，在控制器类中，我有以下内容：

private SecurityContext securityContext = SecurityContextHolder.getContext();
    
    @GetMapping(value = "/getLicenses")
    public ResponseEntity<List<License>> getLicenses() {
        System.out.println("SecurityContext: " + securityContext);
        System.out.println("Authentication securityContext: " + securityContext.getAuthentication());
        return new ResponseEntity<List<License>>(licenseService.getLicenses(), null, HttpStatus.OK);
    }

访问/获取许可证后，控制台的输出为：

SecurityContext: org.springframework.security.core.context.SecurityContextImpl@ffffffff: Null authentication
Authentication securityContext: null

我的KeyCloveSecurityConfig。班

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity( prePostEnabled = true, securedEnabled = true, jsr250Enabled = true)
public class KeycloakSecurityConfig extends KeycloakWebSecurityConfigurerAdapter {
    
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        KeycloakAuthenticationProvider keycloakAuthenticationProvider = keycloakAuthenticationProvider();
        keycloakAuthenticationProvider.setGrantedAuthoritiesMapper(new SimpleAuthorityMapper());
        auth.authenticationProvider(keycloakAuthenticationProvider);
    }
    
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        super.configure(http);
        http.csrf().disable();
        http.authorizeRequests()
                .antMatchers("/getLicenses").hasAnyRole("GUEST", "ADMIN", "SUPERADMIN")
                .antMatchers("/getRevision/{id}").hasRole("SUPERADMIN")
                .permitAll();
    }
    
    @Bean
    @Override
    protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {
        return new RegisterSessionAuthenticationStrategy(new SessionRegistryImpl());
    }

它工作得很好，如果我尝试使用“GUEST”角色用户访问/getRevision/{id}endpoint，它将不允许这样做。

我的yml具有BD连接、JPA和Keyclope连接：

keycloak.auth-server-url : XXXX
keycloak.realm: XXXX
keycloak.resource: login
keycloak.public-client: true

Keyclope有3个用户，有3个不同的角色（每个用户1个rol）。我可以用邮递员登录

有人知道我在尝试访问SecurityContext时为什么会为null吗？我的目标是检索用户数据

Answer 1

首次创建控制器时，您正在初始化控制器中的securityContext对象：

private SecurityContext securityContext = SecurityContextHolder.getContext();

此时，没有可用的安全上下文，这意味着上下文始终为空。

不要在控制器中使用私有变量来存储上下文，而是从getLicens方法中的SecurityContextHolder中获取它：

@GetMapping(value = "/getLicenses")
public ResponseEntity<List<License>> getLicenses() {
    SecurityContext securityContext = SecurityContextHolder.getContext();
    System.out.println("SecurityContext: " + securityContext);
    System.out.println("Authentication securityContext: " + securityContext.getAuthentication());
    return new ResponseEntity<List<License>>(licenseService.getLicenses(), null, HttpStatus.OK);
}