Spring Security OAuth2资源服务器始终返回无效令牌

3 回答

• 5

  问题最终是资源服务器和授权服务器没有获得相同的令牌存储引用 . 不确定接线是如何工作不正确的，但在配置类中使用固定对象就像一个魅力 . 最终，我将转移到持久性支持的令牌存储，这可能不会有任何问题 .

  感谢@OhadR的答案和帮助！

  最终，我简化了配置，通过相同的工作流程，并且它成功了

  @Configuration
  public class Oauth2ServerConfiguration {
  
      private static final String SERVER_RESOURCE_ID = "oauth2-server";
  
      private static InMemoryTokenStore tokenStore = new InMemoryTokenStore();
  
  
      @Configuration
      @EnableResourceServer
      protected static class ResourceServer extends ResourceServerConfigurerAdapter {
  
          @Override
          public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
              resources.tokenStore(tokenStore).resourceId(SERVER_RESOURCE_ID);
          }
  
          @Override
          public void configure(HttpSecurity http) throws Exception {
              http.requestMatchers().antMatchers("/me").and().authorizeRequests().antMatchers("/me").access("#oauth2.hasScope('read')");
          }
      }
  
      @Configuration
      @EnableAuthorizationServer
      protected static class AuthConfig extends AuthorizationServerConfigurerAdapter {
  
          @Autowired
          private AuthenticationManager authenticationManager;
  
  
          @Override
          public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
              endpoints.authenticationManager(authenticationManager).tokenStore(tokenStore).approvalStoreDisabled();
          }
  
          @Override
          public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
              clients.inMemory()
                  .withClient("client")
                      .authorizedGrantTypes("authorization_code","refresh_token")
                      .authorities("ROLE_CLIENT")
                      .scopes("read")
                      .resourceIds(SERVER_RESOURCE_ID)
                      .secret("secret")
              ;
          }
      }
  }
  

  任何偶然发现这篇文章的人，我建议更多地考虑单元测试而不是完整的sparklr / tonr示例，因为它有很多额外的配置，不一定需要开始 .

  回复于 2024-05-02T02:05:45+08:00
• 0

  您的步骤＃6是错误的 - 访问令牌不应该在URL中发送，因为它以这种方式易受攻击 . 比GET更好，使用POST .

  此外，我不明白你的第一步 - 为什么你打电话/ oauth / authorize？当您尝试获取受保护资源时，应该隐式执行此操作 . 我的意思是，你的流程应该从以下开始：

  尝试使用access_token访问受限资源：http：// localhost：8080 / server / me

  然后谈判将在“幕后”开始：重定向到“/ oauth / authorize”等 .

  此外，在步骤＃8中，请注意您不是要求“另一个访问令牌”，而是要求“刷新令牌” . 好像您的访问令牌已过期 .

  Note ：身份提供者和资源服务器应该共享tokenStore！在这里阅读：Spring Security OAuth2 pure resource server

  HTH

  回复于 2024-05-02T02:05:45+08:00
• 5

  这对我有用：

  @Configuration
  public class Oauth2ServerConfiguration {
  
      private static final String SERVER_RESOURCE_ID = "oauth2-server";
  
      @Autowired
      private TokenStore tokenStore;
  
      @Bean
      public TokenStore tokenStore() {
          return new InMemoryTokenStore();
      }
  
      @Configuration
      @EnableResourceServer
      protected static class ResourceServer extends ResourceServerConfigurerAdapter {
  
          @Override
          public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
              resources.tokenStore(tokenStore).resourceId(SERVER_RESOURCE_ID);
          }
  
          @Override
          public void configure(HttpSecurity http) throws Exception {
              // ... Not important at this stage
          }
      }
  
      @Configuration
      @EnableAuthorizationServer
      protected static class AuthConfig extends AuthorizationServerConfigurerAdapter {
  
          @Autowired
          private AuthenticationManager authenticationManager;
  
  
          @Override
          public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
              endpoints.authenticationManager(authenticationManager).tokenStore(tokenStore).approvalStoreDisabled();
          }
  
          @Override
          public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
              //... Not important at this stage
          }
      }
  }
  

  回复于 2024-05-02T02:05:45+08:00