本文介紹了正確配置Spring安全OAuth2的處理方法，對(duì)大家解決問(wèn)題具有一定的參考價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)吧！
問(wèn)題描述
我正在嘗試使用Spring-Security-OAuth2和JWT配置授權(quán)服務(wù)器。
我的Main：
@SpringBootApplication
@EnableResourceServer
public class Application {
public static void main(String[] args) {
SpringApplication.run(Application.class, args);
}
}
我的安全配置：
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
@Bean
public AuthenticationManager authenticationManagerBean() throws Exception {
return super.authenticationManagerBean();
}
@Override
protected void configure(HttpSecurity http) throws Exception {
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth
.inMemoryAuthentication()
.withUser("john").password("123").roles("USER").authorities("FOO_READ");
}
}
我的身份驗(yàn)證服務(wù)器配置：
@Configuration
@EnableAuthorizationServer
public class AuthServerConfig extends AuthorizationServerConfigurerAdapter {
@Autowired
@Qualifier("authenticationManagerBean")
private AuthenticationManager authenticationManager;
@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
clients.inMemory()
.withClient("gateway")
.secret("secret")
.authorizedGrantTypes("refresh_token", "password")
.scopes("GATEWAY")
.autoApprove(true) ;
}
@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
endpoints.tokenEnhancer(jwtTokenEnhancer()).authenticationManager(authenticationManager);
}
}
和用于訪問(wèn)當(dāng)前用戶的Web服務(wù)：
@RestController
public class UserController {
@GetMapping("/users/me")
public Principal user(Principal principal) {
return principal;
}
}
現(xiàn)在，如果我這樣做POST請(qǐng)求：
gateway:secret@localhost:10101/oauth/token
grant_type : password
username : john
password : 123
我得到的回復(fù)如下：
{
"access_token": "...access token...",
"token_type": "bearer",
"refresh_token": "...refresh token...",
"expires_in": 43199,
"scope": "GATEWAY",
"jti": "...jti..."
}
如果我使用訪問(wèn)令牌呼叫我的用戶WS：
GET localhost:10101/users/me
Authorization : Bearer ...access token...
我獲得空響應(yīng)。
但如果我的安全配置中有這幾行：
@Override
protected void configure(HttpSecurity http) throws Exception {
http.requestMatchers().antMatchers("/wtf");
}
然后我獲得相應(yīng)的響應(yīng)。
有人能給我解釋一下這是怎么工作的嗎？如果沒(méi)有這一附加行，為什么無(wú)法識(shí)別我的用戶？
謝謝。
推薦答案
實(shí)際上是Spring安全問(wèn)題。
解決方案在此帖子中：
https://github.com/spring-projects/spring-security-oauth/issues/980
應(yīng)添加此批注才能正確調(diào)用適配器：
@Configuration
@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
// ...
}
另一個(gè)解決方案是實(shí)現(xiàn)ResourceServerConfigurerAdapter而不是WebSecurityConfigurerAdapter。
這篇關(guān)于正確配置Spring安全OAuth2的文章就介紹到這了，希望我們推薦的答案對(duì)大家有所幫助，
