提示=在 Keycloak 和 Spring 安全 Oauth2 之间登录

Question

我正在使用带有 keycloak 10 的 Spring Security Oauth2 来验证我的应用程序用户。

谁能告诉我在尝试对应用程序执行敏感操作时如何要求经过身份验证的用户再次提供他的凭据？

Keycloak 有一个名为 prompt 的参数，它必须是从我的应用程序到 keycloak 的转发器，但我不知道该怎么做。

谢谢你的帮助

Answer 1

您可以创建自定义 Oauth2AuthorizationRequestResolver 覆盖公共 OAuth2AuthorizationRequest 解析方法并包含提示。 此文档中有更多详细信息。 https://docs.spring.io/spring-security/site/docs/5.1.7.RELEASE/reference/html/jc.html

这允许您向授权请求添加自定义属性。

Answer 2

在我做了一些测试之后，我可以说解析器并没有解决整个问题。

总结一下我的发现，默认情况下 spring 不会要求经过身份验证的请求再次登录。 实际上，当我尝试执行敏感操作时，Spring 允许我前进 go 因为正如我所说，它发现我有一个活动的 session。

问候