Spring OAuth2 资源仅允许用于客户端和令牌自动创建

Question

我有一个应用程序正在使用 OAuth2 password grant type 来管理用户对其资源的授权。所有 App 资源只允许使用一次提供的令牌代表某个用户进行操作的客户端访问，但创建用户的 URI 除外，我希望只有经过身份验证的客户端才能访问它。我正在使用 spring-security-oauth2 作为我的 OAuth 实现，但无法弄清楚如何以一种比下面描述的方式更简单的方式来实现这一点：

POST /users 只能由经过身份验证的客户端访问。

目前我通过删除@EnableAuthorizationServer 并创建一个新类并扩展AuthorizationServerSecurityConfiguration 类和覆盖方法：configure( HttpSecurity http ) 并创建一个新的@Configuration 类和@Import AuthorizationServerEndpointsConfiguration 和@ 987654331@。 问题是，在我的新自定义 class 中，我需要在被覆盖的方法中覆盖并复制/粘贴整个方法的原始代码，以类似以下内容结尾：

@Override protected void configure( HttpSecurity http ) throws Exception { AuthorizationServerSecurityConfigurer configurer = new AuthorizationServerSecurityConfigurer(); FrameworkEndpointHandlerMapping handlerMapping = endpoints.oauth2EndpointHandlerMapping(); http.setSharedObject(FrameworkEndpointHandlerMapping.class, handlerMapping); configure(configurer); http.apply(configurer); String tokenEndpointPath = handlerMapping.getServletPath("/oauth/token"); String tokenKeyPath = handlerMapping.getServletPath("/oauth/token_key"); String checkTokenPath = handlerMapping.getServletPath("/oauth/check_token"); http .authorizeRequests() .antMatchers(tokenEndpointPath).fullyAuthenticated() .antMatchers( HttpMethod.POST, "/users/**").fullyAuthenticated() .antMatchers(tokenKeyPath).access(configurer.getTokenKeyAccess()) .antMatchers(checkTokenPath).access(configurer.getCheckTokenAccess()) .and() .requestMatchers() .requestMatchers( new AntPathRequestMatcher(tokenKeyPath), new AntPathRequestMatcher(tokenEndpointPath), new AntPathRequestMatcher(checkTokenPath), new AntPathRequestMatcher("/users/**", HttpMethod.POST.name())); http.setSharedObject(ClientDetailsService.class, clientDetailsService); } 我的第一个问题是，有更好的方法吗？

我想做的第二件事是在创建新用户时通过密码授予类型自动创建 AccessToken（在 URI POST /users 中），我想不出任何方法来做到这一点。

有人可以提供关于这两个需求的任何见解吗？

谢谢

Answer 1

不确定这是否是您要问的，但我理解的是您想要的 使用 POST 方法为 /users 端点上的请求配置特定的安全约束。所以 我就是这样做的。我不认为扩展 AuthorizationServerSecurityConfiguration 是必要的，因为推荐的方式 通常只是在你的主目录中扩展WebSecurityConfigurerAdapter 安全配置类，请记住，您可以为多个端点多次配置 HttpSecurity，但如果您在多个位置配置相同的端点，则最后一次读取的配置将是一个活动的

           @EnableWebSecurity public class SecurityConfiguration extends
           WebSecurityConfigurerAdapter {
           //other methods ...

           @Override
           @Bean 
           public AuthenticationManager authenticationManagerBean() throws
           Exception { 
              return super.authenticationManagerBean();
           }

           @Order(1)
           @Override 
           protected void configure(HttpSecurity http) throws Exception {  
                //configure your path here
                //I purposly configured GET user to
                // permit all to see diference
                //for example
                // @formatter:off
                http
                .authorizeRequests()
                .antMatchers(HttpMethod.GET,"/user")
                .permitAll() 
                .antMatchers(HttpMethod.POST,"/user")
                .fullyAuthenticated()
                .and().csrf().disable()
                .formLogin();
                // @formatter:on
            }

       }

然后在你的 Ouath 配置中

@Configuration
public class OAuth2ServerConfiguration {

    private static final String RESOURCE_ID = "restservice";

    @Configuration
    @EnableResourceServer
    protected static class ResourceServerConfiguration extends ResourceServerConfigurerAdapter {

        @Override
        public void configure(ResourceServerSecurityConfigurer resources) {
            // @formatter:off
            resources
                .resourceId(RESOURCE_ID);
            // @formatter:on
        }

        @Override
        public void configure(HttpSecurity http) throws Exception {
            // @formatter:off
             http
                .requestMatchers()
                .antMatchers("/resources/**","/greeting")
                .and() 
                .authorizeRequests()
                .antMatchers("/resources").access("#oauth2.hasScope('read') or hasRole('ROLE_USER')")
                .antMatchers("/greeting").access("#oauth2.hasScope('read')"); 
            }
    }

    @Configuration
    @EnableAuthorizationServer
    protected static class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter {

        private TokenStore tokenStore = new InMemoryTokenStore();

        @Autowired
        @Qualifier("authenticationManagerBean")
        private AuthenticationManager authenticationManager;

        @Override
        public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
            // @formatter:off
            endpoints
                .tokenStore(this.tokenStore)
                .authenticationManager(authenticationManager);
                // @formatter:on
        }

        @Override
        public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
            // @formatter:off
            clients
                .inMemory()
                    .withClient("clientapp")
                        .authorizedGrantTypes("password","refresh_token")
                        .authorities("USER")
                        .scopes("read", "write")
                        .resourceIds(RESOURCE_ID)
                        .secret("123456");
            // @formatter:on

        }

        @Bean
        @Primary
        public DefaultTokenServices tokenServices() {
            DefaultTokenServices tokenServices = new DefaultTokenServices();
            tokenServices.setSupportRefreshToken(true);
            tokenServices.setTokenStore(this.tokenStore);
            return tokenServices;
        }

    }

}

正如您在上面看到的，HttpSecurity 在扩展 WebSecurityConfigurerAdapter 的类中配置了两次，并且在扩展ResourceServerConfigurerAdapter 的类中为您的 Ouath 配置配置了两次

这个例子的一部分来自 royclarkson 的这个 gitHub 例子 https://github.com/royclarkson/spring-rest-service-oauth

我不确定你在第二个问题中问的是什么，你能澄清一下吗？