Spring 5 Oauth2 - 如何在我的资源服务器中提供检查令牌 URL？

Question

我需要一些帮助..

我使用 Spring-security-oauth2 中的 @EnableAuthorizationServer 为授权类型“client_credentials”设置了一个 AuthorizationServer。能够创建、检查代币和一切有用的东西。

/oauth/令牌
/oauth/checkToken

已关注this sample for Authorization server

我有一个单独的项目，其中包含要保护的 REST API。我不能使用@EnableResourceServer，因为该项目使用 Spring 5.2.8 并且 spring-security-oauth2 2.5 在通过 Weblogic 部署时会导致冲突（因为它使用 4.x Spring jar 并且排除它们会导致更多问题），所以I am using this sample.

现在在这个示例中，我如何只提供一个 Checktoken url。此示例需要 JWT json 类型的文件，但我没有。我只是想保持简单，并使用我创建的授权服务器的校验令牌 url，类似于 @EnableResourceServer 的工作方式。（like provided here 除了没有@EnableResourceServer）

我在哪里提供？任何即时帮助表示赞赏。

Answer 1

我最终使用了 Spring 提供的 JWT 示例，它获取 JWT 公钥以在资源服务器上进行验证。 遵循Spring源码示例项目中提供的auth和resource server。

在我们迁移到更好的 IDM 解决方案之前工作良好

Answer 2

按照您的 ResourceServer 示例，这对我有用：

@EnableWebSecurity
public class OAuth2ResourceServerSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Value("${security.oauth2.resource.tokenInfoUri}") String tokenInfoUri;
    @Value("${security.oauth2.client.clientId}") String clientId;
    @Value("${security.oauth2.client.clientSecret}") String clientSecret;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http
                .authorizeRequests((authorizeRequests) ->
                        authorizeRequests
                                .antMatchers(HttpMethod.GET, "/message/**").hasAuthority("SCOPE_message:read")
                                .antMatchers(HttpMethod.POST, "/message/**").hasAuthority("SCOPE_message:write")
                                .anyRequest().authenticated()
                )
                .oauth2ResourceServer(OAuth2ResourceServerConfigurer::opaqueToken);
        // @formatter:on
    }

    @Bean
    OpaqueTokenIntrospector opaqueTokenIntrospector() {
        return new NimbusOpaqueTokenIntrospector(tokenInfoUri,clientId,clientSecret);
    }
}

我使用了以下 spring 安全依赖项：

        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-config</artifactId>
            <version>5.3.4.RELEASE</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-oauth2-jose</artifactId>
            <version>5.3.4.RELEASE</version>
        </dependency>
        <dependency>
            <groupId>com.nimbusds</groupId>
            <artifactId>oauth2-oidc-sdk</artifactId>
            <version>8.22</version>
            <scope>runtime</scope>
        </dependency>

        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-oauth2-resource-server</artifactId>
            <version>5.3.4.RELEASE</version>
        </dependency>

将您的 checkToken-Uri、client 和 clientSecret 放入您的 application.properties。