java - Spring security oauth2 - 从 OAuth2 主体获取自定义数据

Question

我有一个使用 Spring 安全性并具有用户(用户名和密码)和标准表单例份验证的站点。我允许用户生成链接到他们帐户的客户端 ID 和客户端密码，以便与 OAuth2 安全的 rest API 一起使用。

我为 API 使用了单独的客户端 ID 和客户端密码，而不是用户名和密码，因此用户可以在不破坏 API 凭据、设置特定范围、禁用 API 访问等的情况下更改密码等。

我使用 spring-security-oauth2(提供商)来保护其余 API，并且允许客户端凭证流。我为 api 设置了客户端身份验证，以便检查客户端 ID 和密码。

在一个单独的应用程序中，我使用客户端 ID 和客户端密码来检索访问 token 并开始将其与 API 一起使用。在大多数情况下，我使用通常基于客户端角色和范围的简单 @PreAuthorize 表达式，这些表达式似乎可以正常工作。

以上所有似乎工作正常

但是...我现在有几个 API 端点，但是我需要根据底层用户的一些详细信息实现一些更复杂的规则 - 在本例中是生成客户端 ID 和密码的用户。

作为一个简单的示例，考虑一个消息传递应用程序，其中我有一个端点，允许用户发布可以变化的特定类型的新“消息”。我有一张每个用户和每种类型的允许收件人表，我想检查已发布消息的收件人是否与该类型的允许收件人匹配。 (用户允许的收件人数据通常不大，而且很少更改，因此我很乐意在生成访问 token 时存储它的副本)

我在这些端点获得主体，我看到它是一个 OAuth2Authentication 实例，包含:

• userAuthentication - null - 这对于客户端凭据流来说似乎是意料之中的。
• clientAuthentication 已填充且 authorizationParameters 包含授权类型和 client_id

我想我可以使用 clientAuthentication.authorizationParameters 中的客户端 ID 来查找用户和我需要的详细信息，但是每次 api 调用都会有一些查询，这似乎没有意义。

我想在 Spring OAuth2 库中有一个不错的地方/方式，在授予访问 token 的同时，我可以添加一些额外的细节，以便稍后我可以从 OAuth2Authentication(主体)对象(或扩展它的东西？ )

或者是否有更好的方法完全解决此类问题？

谢谢!

Answer 1

为什么您不使用可以在客户端详细信息中定义的范围，然后使用 ScopeVoter 验证此 token 是否具有访问此资源的适当范围。

请查看我的演示以获取更多详细信息

https://github.com/bassemZohdy/Spring_REST_OAuth_Demo

更新 1:我没有回复您问题的第 2 部分“从 OAuth2 主体获取自定义数据”，您可以在您的授权服务器上添加休息服务，使用 OAuth token 访问该服务器以提供有关此 token 用户的所需信息，因此您不必关心“OAuth2 主体”，您也将授权服务器作为资源服务器处理。