升级 azure-spring-boot-starter-active-directory 以获取 AD 用户角色

Question

我正在寻找从 azure-active-directory-spring-boot-starter 2.3.5 到最新版本 azure-spring-boot-starter-active-directory 3.6.1 的帮助。

我们当前的用例是用户使用 AAD 登录 Web 应用程序。 Web 应用程序在包含用户数据的请求中使用 JWT 联系后端 Spring Boot 应用程序。 我们使用 PreAuthorise 注释通过 SecurityChain 将请求发送到 AADAuthenticationFilter。 过滤器解密 JWT，联系 Microsoft Graph API，检查用户是否具有带有声明前缀的用户角色（下面示例代码中的“A1”），如果是，则将用户 AAD 用户角色添加到然后返回的请求中。 这适用于 azure-active-directory-spring-boot-starter 2.3.5，但是当我们尝试升级到 3.6.1 时发生了一些重大变化，包括现在不推荐使用的 AADAuthenticationFilter 类。 我们需要升级以消除2.3.5版本的一些依赖漏洞。

值得一提的是，我们使用的当前解决方案略有修改，以允许我们检查以声明的前缀开头的用户角色。 我们使用了Spring Security 和 Azure的答案：是否有 Active Directory 组通配符？ 来实现这一点。

@PreAuthorize("@RoleCheck.roleHasPrefix(#req, 'ROLE_A1-')")
@CrossOrigin
@GetMapping(path = "/myPermissions", produces = APPLICATION_JSON_VALUE)
public List<Permission> myPermissions(@Context HttpServletRequest req){
    return permHelper.getUserPermissions(permHelper.getAuthorities(req));
} 

安全配置

@EnableGlobalMethodSecurity(securedEnabled = true,
        prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    
    @Autowired
    private A1AADAuthenticationFilter aadAuthFilter;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        
        http.cors().and().authorizeRequests().anyRequest().permitAll().and().csrf().disable();
        http.addFilterBefore(aadAuthFilter, UsernamePasswordAuthenticationFilter.class);
        
    }
} 

升级到 3.6.1 时，包已更改并且某些类不再存在，例如 ServiceEndpointsProperties，如果我们尝试实现当前有效的旧解决方案，我们始终会收到空指针异常，因为我们无法注入某些类。 我们必须从 api 复制和修改许多类才能使应用程序可能启动，这不切实际。

如果我们使用 API 附带的已弃用的 AADAuthenticationFilter，则前缀检查不再有效，我们会收到以下错误。

c.a.s.a.aad.AADAuthenticationFilter      : Request token verification success. org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationToken@40dfe192: Principal: com.azure.spring.autoconfigure.aad.UserPrincipal@4c2e3a2; Credentials: [PROTECTED]; Authenticated: true; Details: null; Granted Authorities: ROLE_USER

如果我们忽略前缀并通过属性“azure.activedirectory.user-group.allowed-group-names”明确声明允许哪些用户角色，我们可以让它工作，但这对我们来说不是很实用，因为新用户角色是经常添加。 我们很乐意返回用户拥有的每个角色并在后端过滤我们自己，我们尝试使用以下属性：

• azure.activedirectory.user-group.allowed-group-ids:all
• azure.activedirectory.user-group.enable-full-list:true

然而，这再次给出了错误：

c.a.s.a.aad.AADAuthenticationFilter      : Request token verification success. org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationToken@40dfe192: Principal: com.azure.spring.autoconfigure.aad.UserPrincipal@4c2e3a2; Credentials: [PROTECTED]; Authenticated: true; Details: null; Granted Authorities: ROLE_USER

如果您能提供任何帮助，我们将不胜感激，理想情况下，我们仍希望先检查前缀，但是如果不可能，那么我们很乐意返回所有用户角色，然后我们可以编写代码来过滤它们。 遗憾的是，属性“azure.activedirectory.user-group.allowed-group-names”不接受通配符，因此我们可以在那里输入前缀。