Bekommen wichtigste in den Frühling Starten resource-server von JWT token

Könnte, schlage ich einen anderen Weg?

Müssen Sie implementieren Ihre eigenen token-generation, und wickeln Sie Sie in den token-Benutzer-Daten. Sie müssen es setzen notwendige Informationen für den Benutzer in Ansprüche Objekt. Und dann auf Ressourcen-server packen Sie es zurück.

private Map<String, Object> getClaims(UserEntity user) {
    Map<String, Object> claims = new HashMap<>();
    OffsetDateTime now = OffsetDateTime.now(clock);
    OffsetDateTime exp = now.plusMinutes(1);

    //Standard claims
    claims(Claims.ISSUED_AT, Date.from(now.toInstant()).getTime());
    claims(Claims.EXPIRATION, Date.from(exp.toInstant()).getTime());
    claims(Claims.ID, UUID.randomUUID());

    //Private claims
    claims("user.auth", getRoles(user.getRoles()));

    //Clear fields that should not be stored in the token
    claims("user.data", stripUserFields(getApiUser(user)));

    return claims;
}

private String buildJwtToken(Claims claims, String secretKey) throws ApplicationException {
    DefaultJwsHeader header = new DefaultJwsHeader();
    if (secretKey != null) {
        header.setAlgorithm(ALGORITHM);
    }
    String base64EncodedJsonHeader = Base64Util.encode(toJson("header", header), true);
    String base64EncodedJsonBody = Base64Util.encode(toJson("body", claims), true);
    String base64UrlEncodedBaseToken = base64EncodedJsonHeader + "." + base64EncodedJsonBody;
    String hexDigest = createHexDigest(base64UrlEncodedBaseToken, secretKey);
    return base64UrlEncodedBaseToken + "." + Base64Util.encode(hexDigest, true);
}

Sind wir mit io.jsonwebtoken Bibliothek.

Dies ist, was ich getan habe, für alle, die Stoppeln, die über diese (diese Methode verwendet JWKs zu überprüfen JWTs).

Müssen Sie zuerst die setup-config bean, erstreckt sich das WebSecurityConfigurerAdapter.class. Innerhalb der HttpSecurity Objekt, können Sie mit der oauth2ResourceServer.jet () - Methode, die ist ziemlich nett. Er sieht für JWTs für eingehende Anfragen und stellen die Wichtigsten Objekte (und andere Objekte) auf eingehende Anfragen. Es sollte in etwa so Aussehen:

@Configuration
@EnableWebSecurity(debug = true) //optional - helps with debugging your security filters.
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

@Override
protected void configure(HttpSecurity http) throws Exception {
    http
            .csrf()
            .disable()
            .antMatcher("/cars/**")
            .oauth2ResourceServer().jwt(); //validates the jwt token and also sets the authentication and principal

}

In der Anwendung.yml/.Eigenschaften, die Sie benötigen, um auf die JWK Endpunkt:

spring.security.oauth2.resourceserver.jwt.jwk-set-uri: <JWK_ENDPOINT>

In Ihrem controller, können Sie die Wichtigsten und Authentifizierung.

@RequestMapping(method = RequestMethod.GET, value = "/cars/{id}")
@ResponseBody
public Car getCar(@PathVariable("id") String id, Principal principal, Authentication auth) { 

    return new Car(id, "Ford", Color.BLUE, new Owner(principal.getName().toString(), 90120)); //the principal's name is a GUID

}

Alternativ können Sie analysieren die JWT (da an dieser Stelle die BearerTokenAuthenticationFilter wird validiert haben JWT - in Bezug auf Ablauf und andere Dinge) für das Lesen der Ansprüche. Dies funktioniert nur, wenn Sie Forderungen haben, die Sie sind komfortabel mit.