使用访问令牌授权

Question

我已经使用带有 amazon cognito 的 oauth2 标准流程来保护我的应用程序。 它工作正常。

有时我想通过我的移动应用程序链接到我的网络应用程序，我不想让用户再次登录。 我如何创建一个@AnonymousAllowed 端点，它接收访问令牌、使用 spring 安全性进行身份验证并重定向到我的应用程序的主页？

我尝试创建一个返回 jsessionid 的端点，然后创建另一个接受 jsessionid 的匿名端点，设置 cookie 并重定向到主页，但它没有用。

我尝试将授权 header 设置为访问令牌。 但我觉得那不会正常工作，因为令牌将在几分钟后过期，而 spring 不会为我处理授权，而我必须“手动”

Answer 1

我不知道这对你的情况是否有帮助。 但是您可以检查是否有任何可以从下面参考的内容。 这是一个带有自定义令牌验证器的自定义过滤器。

您可以通过扩展AbstractAuthenticationProcessingFilter来使用自定义 TokenAuthenticationFilter

public class CustomTokenAuthenticationFilter extends AbstractAuthenticationProcessingFilter {


@Autowired
private TokenValidatorService tokenValidatorService;

public CustomTokenAuthenticationFilter(final RequestMatcher requiresAuth) {
    super(requiresAuth);
}

@Override
public Authentication attemptAuthentication(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse) throws AuthenticationException, IOException, ServletException {

    String token= httpServletRequest.getHeader(CommonConstants.OAUTH_HEADER_KEY_AUTHORIZATION);
   //Get the custom header
   //Validate token using custom validator based on header value
    Optional<OAuthResponseData> oauthResponseData = tokenValidatorService.validateAccessToken(token, provider);
     ...
    Authentication requestAuthentication = new UsernamePasswordAuthenticationToken(oauthResponseData.get(), oauthResponseData.get().getOauthToken());
    return getAuthenticationManager().authenticate(requestAuthentication);

}

@Override
protected void successfulAuthentication(final HttpServletRequest request, final HttpServletResponse response, final FilterChain chain, final Authentication authResult) throws IOException, ServletException {
    SecurityContextHolder.getContext().setAuthentication(authResult);
    chain.doFilter(request, response);
 }    

}

在TokenValidatorService 中，您可以实现OAuth2TokenValidator来验证令牌

Spring 安全配置 class：

public class SecurityConfig extends GlobalAuthenticationConfigurerAdapter {

@Configuration  
public static class CustomTokenSecurityConfig extends WebSecurityConfigurerAdapter {

    
    @Autowired
    protected CustomTokenAuthenticationProvider customTokenAuthenticationProvider;
    
    @Override
    public void configure(final WebSecurity webSecurity) {
        webSecurity.ignoring()
        ...
    }
    
    @Override
    protected void configure(HttpSecurity http) throws Exception
    {
        http                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            .and()
            .exceptionHandling()
            .and()
            .addFilterBefore(tokenAuthenticationFilter(), AnonymousAuthenticationFilter.class)
            .authorizeRequests()
            .requestMatchers(PROTECTED_URLS).authenticated()
            .and()
            .csrf().disable()
            .formLogin().disable()
            .httpBasic().disable()
            .logout().disable();
            
    }

    @Bean
    public CustomTokenAuthenticationFilter tokenAuthenticationFilter() throws Exception {
        final CustomTokenAuthenticationFilter filter = new CustomTokenAuthenticationFilter(PROTECTED_URLS);
        filter.setAuthenticationManager(authenticationManager());
        // filter.setAuthenticationSuccessHandler(successHandler());
        return filter;
    }
    
    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.authenticationProvider(customTokenAuthenticationProvider);
    }
 }
}