|
此版本仍在开发中，尚未被视为稳定版本。如需最新稳定版本，请使用 Spring Security 7.0.4！ |
高级配置
OAuth 2.0 授权框架将协议端点定义如下：
授权过程利用了两个授权服务器端点（HTTP资源）：
-
授权端点：客户端通过用户代理重定向从资源所有者处获取授权。
-
Tokens端点（Token Endpoint）：客户端使用该端点，通常在客户端身份验证的情况下，将授权许可（authorization grant）交换为访问Tokens（access token）。
除了一个客户端端点：
-
重定向端点：授权服务器用于通过资源所有者用户代理将包含授权凭证的响应返回给客户端。
OpenID Connect Core 1.0 规范对UserInfo 端点的定义如下：
用户信息（UserInfo）端点是一个 OAuth 2.0 受保护资源，用于返回已认证最终用户的声明信息。 为了获取关于该最终用户的请求声明，客户端需使用通过 OpenID Connect 身份验证所获得的访问Tokens，向用户信息端点发起请求。 这些声明通常以一个 JSON 对象表示，其中包含一组声明的名称-值对集合。
ServerHttpSecurity.oauth2Login() 提供了多种配置选项来自定义OAuth 2.0 登录。
以下代码展示了 oauth2Login() DSL 可用的完整配置选项：
-
Java
-
Kotlin
@Configuration
@EnableWebFluxSecurity
public class OAuth2LoginSecurityConfig {
@Bean
SecurityWebFilterChain springSecurityFilterChain(ServerHttpSecurity http) {
http
.oauth2Login((oauth2) -> oauth2
.authenticationConverter(this.authenticationConverter())
.authenticationMatcher(this.authenticationMatcher())
.authenticationManager(this.authenticationManager())
.authenticationSuccessHandler(this.authenticationSuccessHandler())
.authenticationFailureHandler(this.authenticationFailureHandler())
.clientRegistrationRepository(this.clientRegistrationRepository())
.authorizedClientRepository(this.authorizedClientRepository())
.authorizedClientService(this.authorizedClientService())
.authorizationRequestResolver(this.authorizationRequestResolver())
.authorizationRequestRepository(this.authorizationRequestRepository())
.securityContextRepository(this.securityContextRepository())
);
return http.build();
}
}@Configuration
@EnableWebFluxSecurity
class OAuth2LoginSecurityConfig {
@Bean
fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
http {
oauth2Login {
authenticationConverter = authenticationConverter()
authenticationMatcher = authenticationMatcher()
authenticationManager = authenticationManager()
authenticationSuccessHandler = authenticationSuccessHandler()
authenticationFailureHandler = authenticationFailureHandler()
clientRegistrationRepository = clientRegistrationRepository()
authorizedClientRepository = authorizedClientRepository()
authorizedClientService = authorizedClientService()
authorizationRequestResolver = authorizationRequestResolver()
authorizationRequestRepository = authorizationRequestRepository()
securityContextRepository = securityContextRepository()
}
}
return http.build()
}
}以下各节将详细介绍每种可用的配置选项：
OAuth 2.0 登录页面
默认情况下，OAuth 2.0 登录页面由 LoginPageGeneratingWebFilter 自动生成。
默认登录页面会为每个已配置的 OAuth 客户端显示一个链接，该链接使用其 ClientRegistration.clientName 作为展示名称，并可用于发起授权请求（即 OAuth 2.0 登录）。
为了使LoginPageGeneratingWebFilter显示配置的OAuth客户端链接，注册的ReactiveClientRegistrationRepository也需要实现Iterable<ClientRegistration>。
参见InMemoryReactiveClientRegistrationRepository以获得参考。 |
每个 OAuth 客户端的链接目标默认如下：
"/oauth2/authorization/{registrationId}"
以下这行展示了一个示例：
<a href="/oauth2/authorization/google">Google</a>要覆盖默认的登录页面，请配置exceptionHandling().authenticationEntryPoint()，并（可选地）配置oauth2Login().authorizationRequestResolver()。
以下列表展示了一个示例：
-
Java
-
Kotlin
@Configuration
@EnableWebFluxSecurity
public class OAuth2LoginSecurityConfig {
@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
http
.exceptionHandling((exceptionHandling) -> exceptionHandling
.authenticationEntryPoint(new RedirectServerAuthenticationEntryPoint("/login/oauth2"))
)
.oauth2Login((oauth2) -> oauth2
.authorizationRequestResolver(this.authorizationRequestResolver())
);
return http.build();
}
private ServerOAuth2AuthorizationRequestResolver authorizationRequestResolver() {
ServerWebExchangeMatcher authorizationRequestMatcher =
new PathPatternParserServerWebExchangeMatcher(
"/login/oauth2/authorization/{registrationId}");
return new DefaultServerOAuth2AuthorizationRequestResolver(
this.clientRegistrationRepository(), authorizationRequestMatcher);
}
...
}@Configuration
@EnableWebFluxSecurity
class OAuth2LoginSecurityConfig {
@Bean
fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
http {
exceptionHandling {
authenticationEntryPoint = RedirectServerAuthenticationEntryPoint("/login/oauth2")
}
oauth2Login {
authorizationRequestResolver = authorizationRequestResolver()
}
}
return http.build()
}
private fun authorizationRequestResolver(): ServerOAuth2AuthorizationRequestResolver {
val authorizationRequestMatcher: ServerWebExchangeMatcher = PathPatternParserServerWebExchangeMatcher(
"/login/oauth2/authorization/{registrationId}"
)
return DefaultServerOAuth2AuthorizationRequestResolver(
clientRegistrationRepository(), authorizationRequestMatcher
)
}
...
}你需要提供一个带有 @Controller 的 @RequestMapping("/login/oauth2")，用于渲染自定义登录页面。 |
|
如前所述，配置 以下这行展示了一个示例： |
重定向端点
授权重定向端点由授权服务器用于通过资源所有者用户代理将授权响应（其中包含授权凭证）返回给客户端。
| OAuth 2.0 登录利用了授权码许可（Authorization Code Grant）。 因此，授权凭证就是授权码。 |
默认的授权响应重定向端点是/login/oauth2/code/{registrationId}。
如果您希望自定义授权响应重定向端点，请按照以下示例进行配置：
-
Java
-
Kotlin
@Configuration
@EnableWebFluxSecurity
public class OAuth2LoginSecurityConfig {
@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
http
.oauth2Login((oauth2) -> oauth2
.authenticationMatcher(new PathPatternParserServerWebExchangeMatcher("/login/oauth2/callback/{registrationId}"))
);
return http.build();
}
}@Configuration
@EnableWebFluxSecurity
class OAuth2LoginSecurityConfig {
@Bean
fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
http {
oauth2Login {
authenticationMatcher = PathPatternParserServerWebExchangeMatcher("/login/oauth2/callback/{registrationId}")
}
}
return http.build()
}
}|
您还需要确保 以下列表展示了一个示例：
|
用户信息端点
用户信息（UserInfo）端点包含若干配置选项，如下列子章节所述：
映射用户权限
在用户成功使用 OAuth 2.0 提供者进行身份验证后，OAuth2User.getAuthorities()（或 OidcUser.getAuthorities()）包含一个从 OAuth2UserRequest.getAccessToken().getScopes() 中获取并带有前缀 SCOPE_ 的授权列表。
这些授予的权限可能会映射到一个新的 GrantedAuthority 实例集，这些实例将在完成认证时提供给 OAuth2AuthenticationToken。
OAuth2AuthenticationToken.getAuthorities() 用于授权请求，例如在 hasRole('USER') 或 hasRole('ADMIN') 中。 |
在映射用户权限时，有几个选项可供选择：
使用 GrantedAuthoritiesMapper
GrantedAuthoritiesMapper 会接收到一个已授予权限的列表，该列表包含一个特殊类型的权限 OAuth2UserAuthority 和权限字符串 OAUTH2_USER（或者 OidcUserAuthority 和权限字符串 OIDC_USER）。
注册一个GrantedAuthoritiesMapper @Bean，以便在配置中自动应用它，如下例所示：
-
Java
-
Kotlin
@Configuration
@EnableWebFluxSecurity
public class OAuth2LoginSecurityConfig {
@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
http
...
.oauth2Login(withDefaults());
return http.build();
}
@Bean
public GrantedAuthoritiesMapper userAuthoritiesMapper() {
return (authorities) -> {
Set<GrantedAuthority> mappedAuthorities = new HashSet<>();
authorities.forEach(authority -> {
if (OidcUserAuthority.class.isInstance(authority)) {
OidcUserAuthority oidcUserAuthority = (OidcUserAuthority)authority;
OidcIdToken idToken = oidcUserAuthority.getIdToken();
OidcUserInfo userInfo = oidcUserAuthority.getUserInfo();
// Map the claims found in idToken and/or userInfo
// to one or more GrantedAuthority's and add it to mappedAuthorities
} else if (OAuth2UserAuthority.class.isInstance(authority)) {
OAuth2UserAuthority oauth2UserAuthority = (OAuth2UserAuthority)authority;
Map<String, Object> userAttributes = oauth2UserAuthority.getAttributes();
// Map the attributes found in userAttributes
// to one or more GrantedAuthority's and add it to mappedAuthorities
}
});
return mappedAuthorities;
};
}
}@Configuration
@EnableWebFluxSecurity
class OAuth2LoginSecurityConfig {
@Bean
fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
http {
oauth2Login { }
}
return http.build()
}
@Bean
fun userAuthoritiesMapper(): GrantedAuthoritiesMapper = GrantedAuthoritiesMapper { authorities: Collection<GrantedAuthority> ->
val mappedAuthorities = emptySet<GrantedAuthority>()
authorities.forEach { authority ->
if (authority is OidcUserAuthority) {
val idToken = authority.idToken
val userInfo = authority.userInfo
// Map the claims found in idToken and/or userInfo
// to one or more GrantedAuthority's and add it to mappedAuthorities
} else if (authority is OAuth2UserAuthority) {
val userAttributes = authority.attributes
// Map the attributes found in userAttributes
// to one or more GrantedAuthority's and add it to mappedAuthorities
}
}
mappedAuthorities
}
}基于委托的策略与ReactiveOAuth2UserService
此策略比使用GrantedAuthoritiesMapper更先进，但这也更加灵活，因为它允许您访问OAuth2UserRequest和OAuth2User(当使用OAuth 2.0 UserService时)或OidcUserRequest和OidcUser(当使用OpenID Connect 1.0 UserService时)。
OAuth2UserRequest（以及OidcUserRequest）为您提供对相关OAuth2AccessToken的访问权限，这在委托器需要先从一个受保护的资源获取权限信息，然后才能为用户映射自定义权限的情况下非常有用。
以下示例展示了如何使用 OpenID Connect 1.0 UserService 实现并配置基于委托的策略：
-
Java
-
Kotlin
@Configuration
@EnableWebFluxSecurity
public class OAuth2LoginSecurityConfig {
@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
http
...
.oauth2Login(withDefaults());
return http.build();
}
@Bean
public ReactiveOAuth2UserService<OidcUserRequest, OidcUser> oidcUserService() {
final OidcReactiveOAuth2UserService delegate = new OidcReactiveOAuth2UserService();
return (userRequest) -> {
// Delegate to the default implementation for loading a user
return delegate.loadUser(userRequest)
.flatMap((oidcUser) -> {
OAuth2AccessToken accessToken = userRequest.getAccessToken();
Set<GrantedAuthority> mappedAuthorities = new HashSet<>();
// TODO
// 1) Fetch the authority information from the protected resource using accessToken
// 2) Map the authority information to one or more GrantedAuthority's and add it to mappedAuthorities
// 3) Create a copy of oidcUser but use the mappedAuthorities instead
ProviderDetails providerDetails = userRequest.getClientRegistration().getProviderDetails();
String userNameAttributeName = providerDetails.getUserInfoEndpoint().getUserNameAttributeName();
if (StringUtils.hasText(userNameAttributeName)) {
oidcUser = new DefaultOidcUser(mappedAuthorities, oidcUser.getIdToken(), oidcUser.getUserInfo(), userNameAttributeName);
} else {
oidcUser = new DefaultOidcUser(mappedAuthorities, oidcUser.getIdToken(), oidcUser.getUserInfo());
}
return Mono.just(oidcUser);
});
};
}
}@Configuration
@EnableWebFluxSecurity
class OAuth2LoginSecurityConfig {
@Bean
fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
http {
oauth2Login { }
}
return http.build()
}
@Bean
fun oidcUserService(): ReactiveOAuth2UserService<OidcUserRequest, OidcUser> {
val delegate = OidcReactiveOAuth2UserService()
return ReactiveOAuth2UserService { userRequest ->
// Delegate to the default implementation for loading a user
delegate.loadUser(userRequest)
.flatMap { oidcUser ->
val accessToken = userRequest.accessToken
val mappedAuthorities = mutableSetOf<GrantedAuthority>()
// TODO
// 1) Fetch the authority information from the protected resource using accessToken
// 2) Map the authority information to one or more GrantedAuthority's and add it to mappedAuthorities
// 3) Create a copy of oidcUser but use the mappedAuthorities instead
val providerDetails = userRequest.getClientRegistration().getProviderDetails()
val userNameAttributeName = providerDetails.getUserInfoEndpoint().getUserNameAttributeName()
val mappedOidcUser = if (StringUtils.hasText(userNameAttributeName)) {
DefaultOidcUser(mappedAuthorities, oidcUser.idToken, oidcUser.userInfo, userNameAttributeName)
} else {
DefaultOidcUser(mappedAuthorities, oidcUser.idToken, oidcUser.userInfo)
}
Mono.just(mappedOidcUser)
}
}
}
}OAuth 2.0 用户服务
DefaultReactiveOAuth2UserService 是一个实现 ReactiveOAuth2UserService 的类，支持标准的 OAuth 2.0 提供者。
ReactiveOAuth2UserService 从授权流程中授予客户端的访问Tokens（通过在用户信息端点处使用该Tokens）获取最终用户的属性（资源所有者），并以 AuthenticatedPrincipal 的形式返回一个 OAuth2User。 |
DefaultReactiveOAuth2UserService 使用 WebClient 在请求用户属性的 UserInfo 端点时。
如果您需要自定义 UserInfo 请求的预处理和/或 UserInfo 响应的后处理，您将需要通过DefaultReactiveOAuth2UserService.setWebClient()提供一个自定义配置的WebClient。
是否自定义DefaultReactiveOAuth2UserService或提供您自己的ReactiveOAuth2UserService实现，都需要对其进行配置，如下例所示：
-
Java
-
Kotlin
@Configuration
@EnableWebFluxSecurity
public class OAuth2LoginSecurityConfig {
@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
http
...
.oauth2Login(withDefaults());
return http.build();
}
@Bean
public ReactiveOAuth2UserService<OAuth2UserRequest, OAuth2User> oauth2UserService() {
...
}
}@Configuration
@EnableWebFluxSecurity
class OAuth2LoginSecurityConfig {
@Bean
fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
http {
oauth2Login { }
}
return http.build()
}
@Bean
fun oauth2UserService(): ReactiveOAuth2UserService<OAuth2UserRequest, OAuth2User> {
// ...
}
}OpenID Connect 1.0 用户服务
OidcReactiveOAuth2UserService 是 ReactiveOAuth2UserService 的一个实现，支持 OpenID Connect 1.0 提供者。
OidcReactiveOAuth2UserService 在请求用户属性（User Attributes）时利用了 DefaultReactiveOAuth2UserService，这些属性来自 UserInfo Endpoint。
如果您需要自定义 UserInfo 请求的预处理和/或 UserInfo 响应的后处理，您将需要通过OidcReactiveOAuth2UserService.setOauth2UserService()提供一个自定义配置的ReactiveOAuth2UserService。
是否需要自定义OidcReactiveOAuth2UserService或提供您自己的ReactiveOAuth2UserService实现以供OpenID Connect 1.0提供者使用，您都需要像以下示例一样进行配置：
-
Java
-
Kotlin
@Configuration
@EnableWebFluxSecurity
public class OAuth2LoginSecurityConfig {
@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
http
...
.oauth2Login(withDefaults());
return http.build();
}
@Bean
public ReactiveOAuth2UserService<OidcUserRequest, OidcUser> oidcUserService() {
...
}
}@Configuration
@EnableWebFluxSecurity
class OAuth2LoginSecurityConfig {
@Bean
fun securityWebFilterChain(http: ServerHttpSecurity): SecurityWebFilterChain {
http {
oauth2Login { }
}
return http.build()
}
@Bean
fun oidcUserService(): ReactiveOAuth2UserService<OidcUserRequest, OidcUser> {
// ...
}
}ID Token 签名验证
OpenID Connect 1.0 认证引入了ID Token，它是一种安全Tokens，当客户端使用时，其中包含关于授权服务器对最终用户认证的声明（Claims）。
ID Token 以 JSON Web Token (JWT) 的形式表示，并且必须使用 JSON Web Signature (JWS) 进行签名。
The ReactiveOidcIdTokenDecoderFactory 提供了一个用于 ReactiveJwtDecoder 签名验证的 OidcIdToken。默认算法为 RS256，但在客户端注册时可能会有所不同。
在这些情况下，可以配置一个解析器来返回特定客户端预期的 JWS 算法。
JWS算法解析器是一个Function，它接受一个ClientRegistration并返回客户端预期的JwsAlgorithm，例如SignatureAlgorithm.RS256或MacAlgorithm.HS256
以下代码展示了如何配置OidcIdTokenDecoderFactory @Bean，使其默认使用MacAlgorithm.HS256为所有ClientRegistration：
-
Java
-
Kotlin
@Bean
public ReactiveJwtDecoderFactory<ClientRegistration> idTokenDecoderFactory() {
ReactiveOidcIdTokenDecoderFactory idTokenDecoderFactory = new ReactiveOidcIdTokenDecoderFactory();
idTokenDecoderFactory.setJwsAlgorithmResolver((clientRegistration) -> clientRegistration.HS256);
return idTokenDecoderFactory;
}@Bean
fun idTokenDecoderFactory(): ReactiveJwtDecoderFactory<ClientRegistration> {
val idTokenDecoderFactory = ReactiveOidcIdTokenDecoderFactory()
idTokenDecoderFactory.setJwsAlgorithmResolver { MacAlgorithm.HS256 }
return idTokenDecoderFactory
}对于基于MAC的算法，如HS256、HS384或HS512，与client-secret对应的client-id被用作签名验证的对称密钥。 |
如果为 OpenID Connect 1.0 身份验证配置了多个 ClientRegistration，JWS 算法解析器可能会评估所提供的 ClientRegistration，以确定应返回哪个算法。 |
然后，您可以继续配置注销。