让 oauth2 与 spring-boot 和 rest 一起工作

Question

我试图让 oauth2 与 spring-boot 一起工作并保护我的 rest 方法调用，但没有取得很大成功。 我尝试使用 spring-security-oauth2-javaconfig:1.0.0.CI-SNAPSHOT 和 rg.springframework.boot:spring-boot-starter-security:1.0.0.RC1。

*分级： compile("org.springframework.boot:spring-boot-starter-security:1.0.0.RC1")

compile ('org.springframework.security.oauth:spring-security-oauth2-javaconfig:1.0.0.CI-SNAPSHOT'){
    exclude module: 'spring-security-config'
    exclude module: 'spring-security-core'
    exclude module: 'spring-security-web'
}

现在我只是想让身份验证和资源服务器正常工作。我已复制并尝试修改 spring-security-oauth2-javaconfig 示例中的现有 sparklr2 示例。

我得到的最后一个错误是："error":"invalid_client","error_description":"Bad client credentials 当我运行 curl -v --data "grant_type=password&username=marissa&password=koala&client_id=tonr&secret=secret" -X POST localhost:8100/oauth/token 时。

我从初学者的角度理解 oauth2，而关于 oauth2 和 spring-boot 和 rest 的资源匮乏使得它很难。有什么建议吗？

如果有人可以提供类似食谱的方法来配置 oauth2 身份验证和授权以保护 rest api 调用以及相关的 curl 命令，那就太棒了。，

Answer 1

对 oauth2 的 Java 配置支持正在进行中，但使用 my fork 可能会更成功。如果我是你，我现在会坚持使用 XML 来获取 oauth2 位。这是一个带有最少 XML 的bootified sparklr2。我最近没有检查它是否可以正常工作，但是如果您将启动依赖项更新为 1.0.0.RC2，它应该不会出现问题。

更新：@Configuration 的东西已经移到了主要的 OAuth2 repo，所以 fork 和它的 parent 现在基本上是多余的（并且可能很快就会被删除）。

更新：启动后的示例现在也使用@Configuration。

Answer 2

是的。这就是我为使其以这种方式工作所做的工作。我相信这是正确的解决方案（除了将 client_credentials 用于grant_type，但我不是专家:-) 如果有更好的解决方案会很棒。非常感谢您花时间帮助我。

---

import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetails;
import org.springframework.security.oauth2.config.annotation.authentication.configurers.InMemoryClientDetailsServiceConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configuration.OAuth2ServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configurers.OAuth2ServerConfigurer;
import org.springframework.security.oauth2.provider.token.InMemoryTokenStore;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;

import java.util.ArrayList;
import java.util.Collection;
import java.util.List;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends OAuth2ServerConfigurerAdapter {

    private final String applicationName = "restservice";

    @Value("${client_id}")
    private String client_id;

    @Value("${client_secret}")
    private String client_secret;

    @Value("${grant_type}")
    private String grant_type;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .requestMatchers()
            .and()
            .authorizeRequests()
                .antMatchers("/").permitAll()
                .anyRequest().authenticated()
                .and()
            .apply(new OAuth2ServerConfigurer())
            .tokenStore(new InMemoryTokenStore())
            .resourceId(applicationName);
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .userDetailsService(new InMemoryUserDetailsManager(getUserDetails()))
            .and()
            .apply(new InMemoryClientDetailsServiceConfigurer())
                .withClient(client_id)
                .resourceIds(applicationName)
                .scopes("read", "write")
                .authorities("USER")
                .authorizedGrantTypes(grant_type)
                .secret(client_secret);
    }

    private static final Collection<UserDetails> getUserDetails() {
        List<UserDetails> userDetails = new ArrayList<UserDetails>();
        userDetails.add(new User("user", "password", AuthorityUtils.createAuthorityList(
                        "USER", "read", "write")));
        return userDetails;
    }

}