如何使用 Azure AD B2C 保护 Spring Boot REST API？

Question

我正在使用带有 azure-active-directory-b2c-spring-boot-starter 2.2.0 的 Spring Boot 2.2.0。我设法用它保护了一个 Thymeleaf 网页（按照他们的教程）。现在，我想要一个以相同方式保护的 REST API，因为实际的应用程序将是一个移动应用程序，它对我的​​ Spring Boot 后端进行 REST 调用。

我已经想出了如何使用密码授予流程获取令牌：

POST https://<my-tenant-id>.b2clogin.com/<my-tenant-id.onmicrosoft.com/oauth2/v2.0/token?p=B2C_1_<my-custom-policy>

（以用户名和密码为参数）

所以移动应用可以使用该调用。但是我应该如何配置我的 Spring Boot 应用程序以便在 API 调用上使用 Authorization: Bearer <access-token> 有效？我需要什么依赖项/启动器，我应该如何配置？

更新：

我尝试添加：

<dependency>
  <groupId>org.springframework.security.oauth</groupId>
  <artifactId>spring-security-oauth2</artifactId>
  <version>2.3.7.RELEASE</version>
</dependency>

与：

@EnableResourceServer
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class OAuth2ResourceServerConfiguration extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.resourceId("my-azure-b2c-test");
    }

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/api/**")
            .authenticated();
    }
}

但是当我在我的 Spring Boot 应用程序上发出请求时，我收到一个带有“invalid_token”错误的 401。

Answer 1

一旦你知道解决方案似乎很简单。

首先，添加如下依赖：

        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-oauth2-resource-server</artifactId>
            <version>5.2.0.RELEASE</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-oauth2-jose</artifactId>
            <version>5.2.0.RELEASE</version>
        </dependency>

接下来在您的application.properties 文件中指定spring.security.oauth2.resourceserver.jwt.jwk-set-uri 属性。

要知道这个值，请在 https://<my-tenant-id>.b2clogin.com/<my-tenant-id>.onmicrosoft.com/v2.0/.well-known/openid-configuration?p=B2C_1_<my-custom-policy> 上执行 GET（使用 cURL 或其他工具）

这将返回一个带有 jwks_uri 值的 JSON 正文。获取该值并将其放入您的 application.properties 文件中。

现在在项目中创建这个 Java 类：

import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.annotation.web.configurers.oauth2.server.resource.OAuth2ResourceServerConfigurer;

@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/api/**")
            .authenticated()
            .and()
            .oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt);
    }
}

如果你现在有这样的控制器：

@RestController
public class ApiController {

    @GetMapping("/api/test")
    public String apiTest(@AuthenticationPrincipal Principal principal) {
        return "test " + principal;
    }
}

如果您使用正确的Authorization 标头（并且它的类型为org.springframework.security.oauth2.server.resource.authentication.JwtAuthenticationToken）对api/test 执行GET，您将看到主体不为空

唯一不幸的是校长没有权限，我仍然需要弄清楚原因。