春季安全OAuth2資源服務器總是返回無效令牌

Question

我想獲得一個使用Spring庫運行的基本內存OAuth2服務器。我一直在關注sparklr example。

我目前已經配置了服務器，幾乎所有的工作都正常，但是我無法從資源服務器訪問我的受限資源。

我的測試流程：

1. 訪問授權URI的OAuth的開始OAuth2流程：http://localhost:8080/server/oauth/authorize?response_type=code&client_id=client

2. 重定向到登錄頁面：http://localhost:8080/server/login

3. 辦理有關報批和重定向到我配置的重定向頁面w /代碼參數：http://localhost:8080/client?code=HMJO4K

4. 構造一個使用該許可類型和代碼沿着客戶端ID和祕密使用基本身份驗證的GET請求：http://localhost:8080/server/oauth/token?grant_type=authorization_code&code=HMJO4K

5. ，接收和的access_token刷新令牌對象的回報

   { 的access_token：「f853bcc5-7801 -42d3-9cb8-303fc67b0453" token_type： 「承載」 refresh_token： 「57100377-dea9-4df0-ADAB-62e33f2a1b49」 expires_in：299 範圍： 「讀寫」 }

6. 嘗試使用的access_token訪問受限制的資源：http://localhost:8080/server/me?access_token=f853bcc5-7801-42d3-9cb8-303fc67b0453

7. ，接收無效令牌回覆

   { 錯誤： 「INVALID_TOKEN」 ERROR_DESCRIPTION：「無效訪問令牌：f853bcc5-7801-42d3-9cb8-303fc67b0453 「 }

8. POST令牌URI再度刷新令牌：http://localhost:8080/server/oauth/token?grant_type=refresh_token&refresh_token=57100377-dea9-4df0-adab-62e33f2a1b49

9. 收到新令牌

   { 的access_token： 「ed104994-899c-4cd9-8860-43d5689a9420」 token_type： 「承載」 refresh_token： 「57100377-dea9-4df0-ADAB-62e33f2a1b49」 expires_in：300 範圍： 「讀寫」 }

我真的不知道我做錯了，但現在看來，比訪問受限制的URI其他一切工作。這裏是我的配置：

@Configuration 
public class Oauth2ServerConfiguration { 

    private static final String SERVER_RESOURCE_ID = "oauth2-server"; 

    @Configuration 
    @EnableResourceServer 
    protected static class ResourceServerConfiguration extends ResourceServerConfigurerAdapter { 

     @Override 
     public void configure(ResourceServerSecurityConfigurer resources) { 
      resources.resourceId(SERVER_RESOURCE_ID); 
     } 

     @Override 
     public void configure(HttpSecurity http) throws Exception { 
      http 
       .sessionManagement() 
        .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED) 
       .and().requestMatchers() 
        .antMatchers("/me") 
       .and().authorizeRequests() 
        .antMatchers("/me").access("#oauth2.clientHasRole('ROLE_CLIENT')") 
      ; 
     } 
    } 

    @Configuration 
    @EnableAuthorizationServer 
    protected static class AuthotizationServerConfiguration extends AuthorizationServerConfigurerAdapter { 

     @Autowired 
     private ClientDetailsService clientDetailsService; 

     @Autowired 
     @Qualifier("authenticationManagerBean") 
     private AuthenticationManager authenticationManager; 

     @Override 
     public void configure(ClientDetailsServiceConfigurer clients) throws Exception { 
      clients.inMemory() 
       .withClient("client") 
        .resourceIds(SERVER_RESOURCE_ID) 
        .secret("secret") 
        .authorizedGrantTypes("authorization_code", "refresh_token") 
        .authorities("ROLE_CLIENT") 
        .scopes("read","write") 
        .redirectUris("http://localhost:8080/client") 
        .accessTokenValiditySeconds(300) 
        .autoApprove(true) 
      ; 
     } 

     @Bean 
     public TokenStore tokenStore() { 
      return new InMemoryTokenStore(); 
     } 

     @Override 
     public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception { 
      endpoints 
       .tokenStore(tokenStore()) 
       .userApprovalHandler(userApprovalHandler()) 
       .authenticationManager(authenticationManager) 
      ; 
     } 

     @Override 
     public void configure(AuthorizationServerSecurityConfigurer oauthServer) throws Exception { 
      oauthServer.realm("oauth"); 
     } 

     @Bean 
     public ApprovalStore approvalStore() throws Exception { 
      TokenApprovalStore store = new TokenApprovalStore(); 
      store.setTokenStore(tokenStore()); 
      return store; 
     } 

     @Bean 
     public UserApprovalHandler userApprovalHandler() throws Exception { 
      TokenStoreUserApprovalHandler handler = new TokenStoreUserApprovalHandler(); 
      handler.setRequestFactory(new DefaultOAuth2RequestFactory(clientDetailsService)); 
      handler.setClientDetailsService(clientDetailsService); 
      handler.setTokenStore(tokenStore()); 

      return handler; 
     } 
    } 
} 

有什麼我失蹤或我接近這個不正確嗎？任何幫助將不勝感激。

Answer 1

的問題結束了，資源服務器和授權服務器沒有得到同樣的道理存儲參考。不知道接線如何不能正常工作，但在配置類中使用固定對象就像魅力一樣工作。最終，我將轉向持久性支持的令牌存儲，這可能不會有任何問題。

感謝@OhadR的回答和幫助！

最後，我簡單的配置，就通了相同的工作流程，並制定出

@Configuration 
public class Oauth2ServerConfiguration { 

    private static final String SERVER_RESOURCE_ID = "oauth2-server"; 

    private static InMemoryTokenStore tokenStore = new InMemoryTokenStore(); 


    @Configuration 
    @EnableResourceServer 
    protected static class ResourceServer extends ResourceServerConfigurerAdapter { 

     @Override 
     public void configure(ResourceServerSecurityConfigurer resources) throws Exception { 
      resources.tokenStore(tokenStore).resourceId(SERVER_RESOURCE_ID); 
     } 

     @Override 
     public void configure(HttpSecurity http) throws Exception { 
      http.requestMatchers().antMatchers("/me").and().authorizeRequests().antMatchers("/me").access("#oauth2.hasScope('read')"); 
     } 
    } 

    @Configuration 
    @EnableAuthorizationServer 
    protected static class AuthConfig extends AuthorizationServerConfigurerAdapter { 

     @Autowired 
     private AuthenticationManager authenticationManager; 


     @Override 
     public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception { 
      endpoints.authenticationManager(authenticationManager).tokenStore(tokenStore).approvalStoreDisabled(); 
     } 

     @Override 
     public void configure(ClientDetailsServiceConfigurer clients) throws Exception { 
      clients.inMemory() 
       .withClient("client") 
        .authorizedGrantTypes("authorization_code","refresh_token") 
        .authorities("ROLE_CLIENT") 
        .scopes("read") 
        .resourceIds(SERVER_RESOURCE_ID) 
        .secret("secret") 
      ; 
     } 
    } 
} 

任何人在這個職位上絆倒，我建議在單元測試示例，而不是完全成熟尋找更多sparklr/tonr的例子，因爲它有很多額外的配置，不一定需要入門。

Answer 2

您的第6步是錯誤的 - 訪問令牌不應該在URL中發送，因爲它以這種方式受到攻擊。比GET更容易，使用POST。

此外，我不明白你的第一步 - 爲什麼你打電話給/ oauth /授權？當您嘗試獲取受保護的資源時，應該隱式地完成它。我的意思是，你的流量應先從：

Attempt to access a restricted resource using the access_token: http://localhost:8080/server/me

那麼談判將啓動「幕後」：一個重定向到「/ OAuth的/授權」等

此外，在步驟＃8，請注意，您並不是要求「另一個訪問令牌」，而是它是「刷新令牌」的請求。就好像您的訪問令牌已過期。

注意：身份提供者和資源服務器應共享tokenStore！在這裏閱讀：Spring Security OAuth2 pure resource server

HTH

Answer 3

這個工作對我來說：

@Configuration 
public class Oauth2ServerConfiguration { 

    private static final String SERVER_RESOURCE_ID = "oauth2-server"; 

    @Autowired 
    private TokenStore tokenStore; 

    @Bean 
    public TokenStore tokenStore() { 
     return new InMemoryTokenStore(); 
    } 

    @Configuration 
    @EnableResourceServer 
    protected static class ResourceServer extends ResourceServerConfigurerAdapter { 

     @Override 
     public void configure(ResourceServerSecurityConfigurer resources) throws Exception { 
      resources.tokenStore(tokenStore).resourceId(SERVER_RESOURCE_ID); 
     } 

     @Override 
     public void configure(HttpSecurity http) throws Exception { 
      // ... Not important at this stage 
     } 
    } 

    @Configuration 
    @EnableAuthorizationServer 
    protected static class AuthConfig extends AuthorizationServerConfigurerAdapter { 

     @Autowired 
     private AuthenticationManager authenticationManager; 


     @Override 
     public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception { 
      endpoints.authenticationManager(authenticationManager).tokenStore(tokenStore).approvalStoreDisabled(); 
     } 

     @Override 
     public void configure(ClientDetailsServiceConfigurer clients) throws Exception { 
      //... Not important at this stage 
     } 
    } 
}