Spring Security - OAuth2 和 CustomAuthenticationProvider。如何为每个配置不同的 URL 模式？

Question

我的项目有两个身份验证提供程序：Google OAuth2 客户端（oauth2 启动器依赖项）和第二个自定义 AuthenticationProvider。

我有两个antMatcher：/api/** 和/app/**。

是否可以使用 OAuth2 授权 /app/** 并使用我的自定义身份验证提供程序授权 /api/**？

因为我不想为 REST API 启用 OAuth2，但希望为应用程序的其余部分启用 OAuth SSO。

如何为不同的身份验证提供者指定不同的 URL 模式？

编辑

按照我的配置（Spring Boot 2.0.2）：

@Configuration
@EnableWebSecurity
class SecurityConfiguration : WebSecurityConfigurerAdapter() {

    override fun configure(http: HttpSecurity) {
        http.authorizeRequests()
            .antMatchers("/health").permitAll()
            .anyRequest().authenticated()
            .and()
            .oauth2Login()
            .permitAll()
    }
}

尝试了不同的配置，但都没有成功

Answer 1

AuthenticationProvider 有一个方法：supports(Class authentication) 它接受身份验证令牌，如果它返回 false，则 AuthenticationManager 将不会调用该 Provider。

因此您可以在 Authentication Token 中放置一个自定义字段来指示正在调用哪个 URI，Authentication 接口有一个 getDetails() 方法返回一个 Object，如果您可以提供其他信息。

为此，您需要创建自定义 AuthenticationDetails 和 AuthenticationDetailsS​​ource，您可以扩展 WebAuthenticationDetails 和 WebAuthenticationDetailsS​​ource。 WebAuthenticationDetailsS​​ource 有一个 buildDetails 方法，可让您访问 HttpServletRequest。

Answer 2

由于您有两个身份验证提供程序，您需要配置两个身份验证管理器。这是一个示例 XML 配置供您参考：

<security:authentication-manager id="appAuthenticationManager">
    <security:authentication-provider ref="appAuthenticationProvider"/>
</security:authentication-manager>

<security:authentication-manager id="apiAuthenticationManager">
    <security:authentication-provider ref="apiAuthenticationProvider"/>
</security:authentication-manager>

然后为端点配置安全保护规则。

<sec:filter-security-metadata-source id="appServerSecurityMetadataSource"
                                     request-matcher="ant"
                                     use-expressions="true">
    <sec:intercept-url pattern="/oauth/check_token" access="isFullyAuthenticated() and hasRole('PRIVATE_SERVICE')"/>
    <sec:intercept-url pattern="/oauth/token" access="isFullyAuthenticated() and hasRole('PRIVATE_SERVICE')"/>
    <sec:intercept-url pattern="/oauth/jwt-token" access="isFullyAuthenticated() and hasRole('PRIVATE_SERVICE')"/>
    <sec:intercept-url pattern="/**" access="denyAll()"/>

    <sec:expression-handler ref="securityExpressionHandler"/>
</sec:filter-security-metadata-source>


<sec:filter-security-metadata-source id="apiServerSecurityMetadataSource"
                                     request-matcher="ant"
                                     use-expressions="true">
    <sec:intercept-url pattern="/users/**" access="isFullyAuthenticated() and hasRole('ACTIVE_USER')"/>
    <sec:intercept-url pattern="/**" access="denyAll()"/>

    <sec:expression-handler ref="securityExpressionHandler"/>
</sec:filter-security-metadata-source>

然后配置过滤器安全拦截器：（为apiAuthenticationManager配置类似的拦截器）

<bean id="appSecurityInterceptorFilter" class="org.springframework.security.web.access.intercept.FilterSecurityInterceptor">
    <property name="authenticationManager" ref="appAuthenticationManager"/>
    <property name="accessDecisionManager" ref="accessDecisionManager"/>
    <property name="securityMetadataSource" ref="appServerSecurityMetadataSource"/>
</bean>

最后一步是注册这些过滤器 bean：

<bean id="appServerSecurityFilterRegistration" class="org.springframework.boot.web.servlet.FilterRegistrationBean">
    <property name="filter" ref="appSecurityInterceptorFilter"/>
    <property name="enabled" value="false"/>
</bean>

编辑：绕过来自整个过滤器链的一些请求：

为所有 /api/** 请求创建路径匹配器。

<bean id="apiRequestMatcher" class="org.springframework.security.web.util.matcher.AntPathRequestMatcher">
    <constructor-arg index="0" value="/api/**"/>
</bean>

创建一个空过滤器链以绕过/api/** 请求的所有过滤器。

<bean id="apiFilterChain" class="org.springframework.security.web.DefaultSecurityFilterChain">
    <constructor-arg name="requestMatcher" ref="apiRequestMatcher"/>
    <constructor-arg name="filters">
        <list/>
    </constructor-arg>
</bean>

最后，注册这个过滤器链代理。

<bean id="springSecurityFilterChain" class="org.springframework.security.web.FilterChainProxy">
    <constructor-arg>
        <list>
            <ref bean="apiFilterChain"/>
        </list>
    </constructor-arg>
</bean>

要将这些请求委托给您的自定义提供商，请按照我之前分享的步骤操作。

您也可以尝试，<http pattern="/api/**" security="none"/> 绕过过滤器链。 Spring 3.1 将 filters=”none” 替换为 security=”none”。