【发布时间】：2021-04-14 03:37:31
【问题描述】：
我有一个非常简单的 Spring Boot 应用程序，其资源位于 /repositories 和 /persons。
这是我的build.gradle 文件。
plugins {
id 'org.springframework.boot' version '2.4.0'
id 'io.spring.dependency-management' version '1.0.10.RELEASE'
id 'java'
}
// use java 11 until keycloak is fixed
sourceCompatibility = '11'
repositories {
mavenCentral()
}
dependencyManagement {
imports {
mavenBom "org.keycloak.bom:keycloak-adapter-bom:12.0.1"
}
}
dependencies {
implementation 'org.springframework.boot:spring-boot-starter-web'
implementation 'org.springframework.boot:spring-boot-starter-data-jpa'
implementation 'org.springframework.boot:spring-boot-starter-security'
implementation 'org.keycloak:keycloak-spring-boot-starter'
implementation 'org.flywaydb:flyway-core'
runtime 'org.postgresql:postgresql'
testImplementation 'org.springframework.boot:spring-boot-starter-test'
}
...
...
这是我的SecurityConfig.java 文件。
@KeycloakConfiguration
public class SecurityConfig extends KeycloakWebSecurityConfigurerAdapter {
@Autowired
public void configureGlobal(AuthenticationManagerBuilder auth) {
var keycloakAuthenticationProvider = keycloakAuthenticationProvider();
keycloakAuthenticationProvider.setGrantedAuthoritiesMapper(new SimpleAuthorityMapper());
auth.authenticationProvider(keycloakAuthenticationProvider);
}
@Bean
@Override
protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {
return new RegisterSessionAuthenticationStrategy(new SessionRegistryImpl());
}
@Override
protected void configure(HttpSecurity http) throws Exception {
super.configure(http);
http.authorizeRequests()
.antMatchers("/persons*")
.hasRole("user")
.anyRequest()
.permitAll();
}
@Bean
public KeycloakConfigResolver keycloakConfigResolver() {
return new KeycloakSpringBootConfigResolver();
}
}
这是我的application.yaml 文件。
spring:
datasource:
url: jdbc:postgresql://localhost:5432/postgres
username: john
password: john
keycloak:
auth-server-url: http://localhost:8081/auth/
realm: myrealm
resource: myclient
credentials:
secret: 45d43bd6-5ab9-476c-83c8-67bd203a78ee
这一切都在我的本地机器上，Keycloak 和 Postgres 是通过 docker compose 启动的。
version: "3.1"
volumes:
postgres_data:
driver: local
services:
db:
image: "postgres:13.1"
ports:
- "5432:5432"
environment:
POSTGRES_DB: postgres
POSTGRES_USER: john
POSTGRES_PASSWORD: john
postgres:
image: "postgres:13.1"
volumes:
- postgres_data:/var/lib/postgresql/data
environment:
POSTGRES_DB: keycloak
POSTGRES_USER: keycloak
POSTGRES_PASSWORD: password
keycloak:
image: quay.io/keycloak/keycloak:12.0.1
environment:
DB_VENDOR: POSTGRES
DB_ADDR: postgres
DB_DATABASE: keycloak
DB_USER: keycloak
DB_SCHEMA: public
DB_PASSWORD: password
KEYCLOAK_USER: admin
KEYCLOAK_PASSWORD: Pa55w0rd
ports:
- 8081:8080
depends_on:
- postgres
我在 Keycloak 中有用户 zemirco 和 one，他们都有 user 角色。这一切都运行得很好，/persons 的路线受到保护，而/repositories 对所有人开放。
这是我的问题！我想保护个人资源，例如/person/1。我无法让它工作:(我已经尝试了好几天但没有运气。这是我的 keycloak 设置。
这是我的政策。
这里是资源。
这里是许可。
这一切都在 Keycloak 的评估期间有效。但是它不能直接在我的 Spring Boot 应用程序中工作。我仍然可以以zemirco 的身份访问/person/1，尽管用户one 应该只有访问权限。
我现在有点迷茫。你有什么想法吗？
非常感谢！
2021 年 1 月 10 日编辑
感谢大家的回答，但我仍然认为无需我（应用程序方面）付出很多额外的努力，这是可行的。我特别关注政策执行者https://www.keycloak.org/docs/latest/authorization_services/#_enforcer_overview。
PEP 负责执行来自 Keycloak 服务器的访问决策，这些决策是通过评估与受保护资源相关的策略来做出的。它在您的应用程序中充当过滤器或拦截器，以便根据这些决定授予的权限检查是否可以满足对受保护资源的特定请求。
这听起来和我想要做的完全一样。不幸的是我不能让它工作。我只是认为我的配置是错误的或者可能不完整。我会为这个问题添加一个赏金。
【问题讨论】：
标签： java spring spring-boot authorization keycloak