web-dev-qa-db-ja.com

Spring Boot 2.0.3 Oauth2 Security：ヘッダーでアクセストークンを使用している場合でも401エラーが発生する

Spring Boot 2.0アプリケーションを作成して、oauth2セキュリティを有効にしようとしています。現在、同じアプリケーションに認証サーバーとリソースサーバーがあります。クライアントとユーザーの詳細、および生成されたトークンはデータベース（mysql）に保持され、データベーススキーマはSpringドキュメントで提供されているものと同じです。 Postmanを使用して、ヘッダーにclientIdとclientSecretを提供し、本文にユーザーの資格情報を提供する「/ oauth/token /」エンドポイントにヒットすると、アクセストークンが正常に取得されます。

{
"access_token": "bef2d974-2e7d-4bf0-849d-d80e8021dc50",
"token_type": "bearer",
"refresh_token": "32ed6252-e7ee-442c-b6f9-d83b0511fcff",
"expires_in": 6345,
"scope": "read write trust"
}

しかし、このアクセストークンを使用して残りのAPIをヒットしようとすると、401 Unauthorizedエラーが発生します。

{
"timestamp": "2018-08-13T11:17:19.813+0000",
"status": 401,
"error": "Unauthorized",
"message": "Unauthorized",
"path": "/myapp/api/unsecure"
}

私がヒットしている残りのAPIは次のとおりです。

http：// localhost：8080/myapp/api/unsecure

http：// localhost：8080/myapp/api/secure

myappは、アプリケーションのコンテキストパスです。

「セキュア」APIの場合、Springのドキュメントで説明されているように、リクエストヘッダーにアクセストークンを提供しました。

Authorization: Bearer bef2d974-2e7d-4bf0-849d-d80e8021dc50

安全でないapiに対して、Authenticationヘッダーの有無にかかわらず試しました。すべての場合で、両方のAPIで同じエラーが発生します。

また、現在認証されているユーザーを印刷しようとすると、anonymousUserとして印刷されます。

私が欲しいものは次のとおりです：

1）リクエストヘッダーにアクセストークンが指定されている場合にのみ、安全なAPIにアクセスできるようにしたい。

2）私の安全でないAPIに無許可のユーザーがアクセスできるようにしたい。

3）安全なURLにアクセスするときに、SecurityContextHolderを使用して現在認証されているユーザーを取得する必要があります。

My WebSecurityConfigurerAdapterは次のとおりです

@Configuration
@EnableWebSecurity(debug=true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

@Autowired
private DataSource dataSource;

@Autowired
UserDetailsService userDetailsService;

@Autowired
private ClientDetailsService clientDetailsService;

@Bean
public PasswordEncoder userPasswordEncoder() {
    return new BCryptPasswordEncoder(8);
}

@Bean
public TokenStore tokenStore() {
    return new JdbcTokenStore(dataSource);
}

@Autowired
public void configure(AuthenticationManagerBuilder auth) throws 
Exception {
    auth
    .userDetailsService(userDetailsService)
    .passwordEncoder(userPasswordEncoder());
}

@Override
@Bean
public AuthenticationManager authenticationManagerBean() throws 
Exception {
    return super.authenticationManagerBean();
}

@Bean
@Autowired
public TokenStoreUserApprovalHandler userApprovalHandler(TokenStore 
tokenStore){
    TokenStoreUserApprovalHandler handler = new 
    TokenStoreUserApprovalHandler();
    handler.setTokenStore(tokenStore);
    handler.setRequestFactory(new 
    DefaultOAuth2RequestFactory(clientDetailsService));
    handler.setClientDetailsService(clientDetailsService);
    return handler;
}

@Bean
@Autowired
public ApprovalStore approvalStore(TokenStore tokenStore) throws 
Exception {
    TokenApprovalStore store = new TokenApprovalStore();
    store.setTokenStore(tokenStore);
    return store;
}

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
    .csrf().disable()
    .cors().disable()
    .anonymous().disable()
    .authorizeRequests()
    .antMatchers("/index.html", "/**.js", "/**.css", "/").permitAll()
    .anyRequest().authenticated()
    .and()
    .httpBasic();
}

ここでは、antMatchersを使用して、Angular 6アプリケーションの静的ページを許可しました。これは、実際のアプリケーションで使用する予定であるためです。また、次の行は、=の静的ページを許可するようには機能しません。 angularアプリケーション：

.requestMatchers(PathRequest.toStaticResources().atCommonLocations()).permitAll()

私のAuthorizationServerConfigurerAdapterは次のとおりです：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends 
AuthorizationServerConfigurerAdapter {

@Autowired
private DataSource dataSource;

@Autowired
UserDetailsService userDetailsService;

@Autowired
PasswordEncoder passwordEncoder;

@Autowired
TokenStore tokenStore;

@Autowired
private UserApprovalHandler userApprovalHandler;

@Autowired
@Qualifier("authenticationManagerBean")
private AuthenticationManager authenticationManager;


@Override
public void configure(AuthorizationServerSecurityConfigurer oauthServer) {
    oauthServer
    .tokenKeyAccess("permitAll()")
    .checkTokenAccess("isAuthenticated()")
    .passwordEncoder(passwordEncoder);
}

@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
    clients.jdbc(dataSource);
}

@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
    endpoints
    .tokenStore(tokenStore)
    .userApprovalHandler(userApprovalHandler)
    .authenticationManager(authenticationManager)
    .userDetailsService(userDetailsService);
}
}

My ResourceServerConfigurerAdapterは次のとおりです

@Configuration
@EnableResourceServer
public abstract class ResourceServerConfig extends ResourceServerConfigurerAdapter {

private static final String RESOURCE_ID = "resource-server-rest-api";

@Autowired
TokenStore tokenStore;

@Override
public void configure(ResourceServerSecurityConfigurer resources) {
    resources
    .resourceId(RESOURCE_ID)
    .tokenStore(tokenStore);
}

@Override
public void configure(HttpSecurity http) throws Exception {

    http
    .csrf().disable()
    .cors().disable()
    .anonymous().disable()
    .requestMatchers()
    .antMatchers("/api/**").and()
    .authorizeRequests()
    .antMatchers("/api/secure").authenticated()
    .antMatchers("/api/unsecure").permitAll();
}
}

しかし、SecurityConfigで匿名アクセスを有効にして、保護されていないURLをpermitAllとして宣言すると、そのURLにアクセスできます。

.antMatchers("/api/unsecure", "/index.html", "/**.js", "/**.css", "/").permitAll()

私のコントローラークラスは次のとおりです：

@RestController
@RequestMapping("/api")
public class DemoController {

@GetMapping("/secure")
public void sayHelloFriend() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    System.out.println("Current User: "+authentication.getName());
    System.out.println("Hello Friend");
}

@GetMapping("/unsecure")
public void sayHelloStranger() {
    Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    System.out.println("Current User: "+authentication.getName());
    System.out.println("Hello Stranger");
}
}

さらに情報が必要な場合はお知らせください。任意の助けをいただければ幸いです。 しかし、Spring Boot 2.0は1.5ではなく、どちらも私の調査結果によるといくつかの重要な違いがあるため、覚えておいてください。

javaspring-bootspring-security-oauth2http-status-code-401
6
Aditya Kumar

追加してみる

@Order(SecurityProperties.BASIC_AUTH_ORDER)

securityConfig？したがって、チェーンは最初にリソースサーバーの構成をチェックします。

そして、あなたのタイプエラーであるかどうかわからない場合は、リソースサーバーから抽象を削除してください。

1
Niuhuru Lang