userRepository不安全，因爲userDetailsS​​ervice需要查找用戶

Question

我已經實現了一個自定義的UserDetailsS​​ervice，它查找一個用戶並允許他們使用密碼授予獲取oauth 2令牌。該服務表示使用JPA userRepository來查找用戶。

這一切都有效，但現在我有一個/用戶端點公開可用，將所有用戶和密碼拉入任何經過身份驗證的用戶。理想情況下，我希望根本沒有可用的端點，但是如果我使用管理員角色對其進行preAuthorize，則所有用戶都會在嘗試獲取登錄令牌時被拒絕，所以這也不起作用。人們如何解決這個問題？我可以添加一個匹配器到資源服務器，只允許管理員用戶，這似乎工作，但我不希望終端可用，它是非常可怕的，只要這樣UserDetailsS​​ervice可以使用它來獲得訪問令牌？

對你們所做的任何輸入將不勝感激。

//Example code: 
// Bad public facing endpoint returning all users and passwords 

public interface UserRepository extends JpaRepository<User, Long> { 
    User findOneByUsername(String username); 
} 

// Custom user details service used by oauth 2 to get access tokens 
// uses userRepo above 
@Service("userDetailsService") 
public class UserService implements UserDetailsService { 

    @Autowired 
    private UserRepository userRepository; 

    @Override 
    public UserDetails loadUserByUsername(String username) throws  UsernameNotFoundException { 
     return userRepository.findOneByUsername(username); 
    } 
} 

// class using user details service 
@Configuration 
@EnableAuthorizationServer 
public class OAuth2Config extends AuthorizationServerConfigurerAdapter { 

    @Qualifier("userDetailsService") 
    private UserDetailsService userDetailsService; 

    @Override 
    public void configure(AuthorizationServerEndpointsConfigurer configurer) throws Exception { 
     configurer.userDetailsService(userDetailsService); 
    } 


} 

Answer 1

我認爲你使用的是Spring Data？

在這種情況下，你需要告訴春天不出口端點：

@RepositoryRestResource(exported = false) 

https://docs.spring.io/spring-data/rest/docs/current/api/org/springframework/data/rest/core/annotation/RepositoryRestResource.html