提示=在 Keycloak 和 Spring 安全 Oauth2 之間登錄

Question

我正在使用帶有 keycloak 10 的 Spring Security Oauth2 來驗證我的應用程序用戶。

誰能告訴我在嘗試對應用程序執行敏感操作時如何要求經過身份驗證的用戶再次提供他的憑據？

Keycloak 有一個名為 prompt 的參數，它必須是從我的應用程序到 keycloak 的轉發器，但我不知道該怎么做。

謝謝你的幫助

Answer 1

您可以創建自定義 Oauth2AuthorizationRequestResolver 覆蓋公共 OAuth2AuthorizationRequest 解析方法並包含提示。 此文檔中有更多詳細信息。 https://docs.spring.io/spring-security/site/docs/5.1.7.RELEASE/reference/html/jc.html

這允許您向授權請求添加自定義屬性。

Answer 2

在我做了一些測試之后，我可以說解析器並沒有解決整個問題。

總結一下我的發現，默認情況下 spring 不會要求經過身份驗證的請求再次登錄。 實際上，當我嘗試執行敏感操作時，Spring 允許我前進 go 因為正如我所說，它發現我有一個活動的 session。

問候