Spring Безопасность и миграция Google OpenID Connect

Ответ 1

AFAIK, нет чистой и легкой Spring миграции безопасности с OpenID на аутентификацию OpenID Connect. Внедрение аутентификации OpenID с помощью Spring Безопасность выполняется с использованием хорошо документированного <openid-login/>, но для OpenID Connect не существует аналога.

альтернатива MITREid все еще находится на ветке разработки и недоступна в Maven Central и, следовательно, не является кандидатом.

В комментариях Чак Мах указывает на Как реализовать OpenID-соединение и Spring Безопасность, где Romain F. предоставляет пример кода.

Образец кода Romain указал мне в правильном направлении. Это время заканчивается, я пошел с романтическим подходом, который должен был написать пользовательский Spring Security AuthenticationFilter, который использует spring -security-oauth2 для запроса oauth2 api конечная точка userinfo (для Google это https://www.googleapis.com/oauth2/v2/userinfo). Предполагается, что если мы сможем успешно запросить конечную точку userinfo, пользователь успешно завершит аутентификацию, чтобы мы могли доверять возвращенной информации - например, адрес электронной почты пользователя.

Когда я впервые начал изучать OpenID Connect, "центральным понятием стала" . Однако, просматривая исходный код spring -security-oauth2, он, похоже, игнорируется. Это приводит к вопросу, какова точка маркера ID, если мы можем аутентифицироваться без него (просто запросив конечную точку oauth2 userinfo)?

Минималистское решение, которое я бы предпочел, просто вернет проверенный токен ID. Не было бы необходимости запрашивать конечную точку userinfo. Но такого решения не существует в виде фильтра проверки подлинности Spring.

Мой webapp не был spring -boot-приложением, таким как romain. spring -boot делает много конфигурации за кулисами. Вот некоторые из проблем/решений, с которыми я столкнулся на этом пути:

• проблема: статус HTTP 403 - ожидаемый токен CSRF не найден. Срок действия вашего сеанса истек?

  • Решение: java config: httpSecurity.csrf(). disable()

• проблема: статус HTTP 500 - ошибка при создании bean с именем 'scopedTarget.googleOAuth2RestTemplate': Scope 'session' неактивен для текущего потока;

  • Решение: java config: OAuth2RestTemplate не обязательно должен быть областью сеанса (OAuth2ClientContext уже имеет сеанс и что все, что необходимо)

• Проблема: HTTP Status 500 - Ошибка при создании bean с именем 'scopedTarget.oauth2ClientContext': Scope 'session' неактивен для текущего потока;

  • solution: web.xml: добавить RequestContextListener
  • : потому что доступ к oauth2ClientContext с сеансом bean осуществляется за пределами области Spring MVC DispatcherServlet (к нему обращаются из OpenIdConnectAuthenticationFilter, который является частью цепочки фильтров Spring).

  <listener>
      <listener-class>org.springframework.web.context.request.RequestContextListener</listener-class>
  </listener>
  

• Проблема: org.springframework.security.oauth2.client.resource.UserRedirectRequiredException: для получения одобрения пользователей требуется перенаправление.

  • solution: web.xml: добавьте определение фильтра сразу. PRECEEDING springSecurityFilterChain

  <filter>
      <filter-name>oauth2ClientContextFilter</filter-name>
      <filter-class>org.springframework.web.filter.DelegatingFilterProxy</filter-class>
  </filter>
  <filter-mapping>
      <filter-name>oauth2ClientContextFilter</filter-name>
      <url-pattern>/*</url-pattern>
  </filter-mapping>
  

К сожалению, OpenID Connect не позволяет нам запрашивать область email. Когда наши пользователи прошли аутентификацию с помощью OpenID, они увидели бы экран согласия, например "webapp хотел бы просмотреть ваш адрес электронной почты", с которым им было удобно. Теперь мы должны запросить области openid email, в результате чего появится экран согласия с просьбой предоставить нам общий доступ к нашему общедоступному профилю... который нам действительно не нужен или хочет... и пользователи менее удобны с этим экраном согласия.