Spring OAuth2

Zakázání basic auth pro některé endpointy ve Spring OAuth2

autor:

To, že Spring OAuth2 řadu endpointů generuje, jsem se zmínil v jednom z předchozích příspěvků. Na jednu stranu je to výhoda, protože většinu věcí máte hotovou, na stranu druhou to může v některých případech být problém. Například můžete chtít, aby endpoint PUT /oauth/token neměl authentikaci. Normálně byste napsali něco následujícího:

override fun configure(http: HttpSecurity) {
    http
            .authorizeRequests()
            .antMatchers(HttpMethod.PUT, "/oauth/token").permitAll()
            .anyRequest().denyAll()
            .and().csrf().disable()
            .formLogin().disable()
}

To ale v tomto případě nestačí, protože request zachytí AuthorizationServerSecurityConfiguration. Ta má nastavený @Order na 0. Řešením je, ve třídě která dědí od WebSecurityConfigurerAdapter nastavit @Order na -1 (@Order(-1)) a přetížit metodu configure následujícím způsobem.

override fun configure(http: HttpSecurity) {
    http
            .requestMatchers()
            .antMatchers(HttpMethod.PUT, "/oauth/token")
            .and().authorizeRequests().anyRequest().permitAll()
            .and().csrf().disable()
            .formLogin().disable()
}

Nezapomeňte na csfr().disable(), jinak budete dostávat 403.

OAuth2

autor:

V rámci OAuth2 existují čtyři základní entity:

  • resource owner (uživatel) – vlastník dat
  • resource server (služba) – tam, kde jsou uložena vlastníkova data
  • authorization server (autorizační server) – server, který vydává přistupový token (access token)
  • client application (klientská aplikace) – aplikace, která přistupuje k datům vlastníka (uživatele)

Průběh získání přístupu pro klientskou aplikaci

Klientská aplikace (KA) požádá autorizační server (AS) o přístupový token, kterým se bude následně prokazovat na resource serveru (RS). AS musí ověřit, že uživatel je srozuměn a dává souhlas. To probíhá tak, že KA přesměruje uživatele na AS, kde se uživateli zobrazí přihlášení.

Pokud uživatel zadá správná data, pošle AS na KA přístupový token. KA pak pošle požadavek na RS a přiloží v žádosti tento přístupový token. RS tento token pošle na AS k ověření. AS v odpovědi vrací, zda je token platný a jaká oprávnění se k tomuto token vztahují. To znamená, co vše má KA povoleno.

Pokud je vše v pořádku a KA žádá o data, která má od uživatele povoleny, RS vrací požadovaná data.

Hledáte jednoduché a popisné vysvětlení jak funguje OAuth2? K tomuto tématu jsem narazil na tento příspěvek.

Hezké vysvětlení v češtině (ale bez obrázků) naleznete na stránkách ČVUT.

Spring OAuth2

autor:

Pro vytvoření oauth autorizace nabízí spring knihovnu

org.springframework.security.oauth:spring-security-oauth

Zde najdete celkem 8 endpointů označených anotací @FrameworkEndpoint:

  • /oauth/authorize (class AuthorizationEndpoint)
  • /oauth/authorize, method = RequestMethod.POST, params = OAuth2Utils.USER_OAUTH_APPROVAL (class AuthorizationEndpoint)
  • /oauth/check_token (class CheckTokenEndpoint)
  • /oauth/token, method=RequestMethod.GET (class TokenEndpoint)
  • /oauth/token, method=RequestMethod.POST (class TokenEndpoint)
  • /oauth/token_key, method = RequestMethod.GET (class TokenKeyEndpoint)
  • /oauth/confirm_access (class WhitelabelApprovalEndpoint)
  • /oauth/error (class WhitelabelErrorEndpoint)

Anotace @FrameworkEndpoint znamená, že tyto endpointy jsou vytvořeny frameworkem. Nemusíte je tedy vytvářet sami.