本文介紹了正確配置Spring安全OAuth2的處理方法，對大家解決問題具有一定的參考價值，需要的朋友們下面隨著小編來一起學習吧！
問題描述
我正在嘗試使用Spring-Security-OAuth2和JWT配置授權服務器。
我的Main：
@SpringBootApplication
@EnableResourceServer
public class Application {
public static void main(String[] args) {
SpringApplication.run(Application.class, args);
}
}
我的安全配置：
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
@Bean
public AuthenticationManager authenticationManagerBean() throws Exception {
return super.authenticationManagerBean();
}
@Override
protected void configure(HttpSecurity http) throws Exception {
}
@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth
.inMemoryAuthentication()
.withUser("john").password("123").roles("USER").authorities("FOO_READ");
}
}
我的身份驗證服務器配置：
@Configuration
@EnableAuthorizationServer
public class AuthServerConfig extends AuthorizationServerConfigurerAdapter {
@Autowired
@Qualifier("authenticationManagerBean")
private AuthenticationManager authenticationManager;
@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
clients.inMemory()
.withClient("gateway")
.secret("secret")
.authorizedGrantTypes("refresh_token", "password")
.scopes("GATEWAY")
.autoApprove(true) ;
}
@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
endpoints.tokenEnhancer(jwtTokenEnhancer()).authenticationManager(authenticationManager);
}
}
和用于訪問當前用戶的Web服務：
@RestController
public class UserController {
@GetMapping("/users/me")
public Principal user(Principal principal) {
return principal;
}
}
現在，如果我這樣做POST請求：
gateway:secret@localhost:10101/oauth/token
grant_type : password
username : john
password : 123
我得到的回復如下：
{
"access_token": "...access token...",
"token_type": "bearer",
"refresh_token": "...refresh token...",
"expires_in": 43199,
"scope": "GATEWAY",
"jti": "...jti..."
}
如果我使用訪問令牌呼叫我的用戶WS：
GET localhost:10101/users/me
Authorization : Bearer ...access token...
我獲得空響應。
但如果我的安全配置中有這幾行：
@Override
protected void configure(HttpSecurity http) throws Exception {
http.requestMatchers().antMatchers("/wtf");
}
然后我獲得相應的響應。
有人能給我解釋一下這是怎么工作的嗎？如果沒有這一附加行，為什么無法識別我的用戶？
謝謝。
推薦答案
實際上是Spring安全問題。
解決方案在此帖子中：
https://github.com/spring-projects/spring-security-oauth/issues/980
應添加此批注才能正確調用適配器：
@Configuration
@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {
// ...
}
另一個解決方案是實現ResourceServerConfigurerAdapter而不是WebSecurityConfigurerAdapter。
這篇關于正確配置Spring安全OAuth2的文章就介紹到這了，希望我們推薦的答案對大家有所幫助，
