java - 如何以编程方式选择 ClientRegistration

Question

我正在尝试为可以使用 OIDC 访问用户数据的大型应用程序实现一个模块。这里的挑战是应用程序充当多个可能访问自己的 OIDC 服务器的客户端的中继，因此通过 application.properties 进行自动配置不是一个可行的选择。同样，注册所有 ClientRegistration位于 InMemoryClientRegistrationRepository不是一个可行的选择，因为客户端 A 的用户可能不会使用 ClientRegistration对于客户 B，反之亦然。

上面的段落已经展示了我在这方面的大部分知识:

• 注册n很简单ClientRegistration对象
• 全部注册ClientRegistration对象可以被Spring自动检测，并且可以在登录页面上选择

我已经“实现”了 ClientRegistrationRepository像这样:

@Service
public class MyCustomRepository implements ClientRegistrationRepository {
  private final Map<String, ClientRegistration> registrations = new HashMap<>();

  public MyCustomRepository() {
    addDefaultRegistrations();
  }

  @Override
  public ClientRegistration findByRegistrationId(String registrationId) {
    return registrations.get(registrationId);
  }

  private void addDefaultRegistrations() {
   // omitted
  }    
}

这是故意不实现 Iterable<ClientRegistration>出于已经说明的原因。当使用此且没有自定义登录页面时，默认登录页面为空。

允许自动检测 ClientRegistration 时通过Iterable ，并且考虑到只有一个 ClientRegistration已注册，未显示登录页面，而是显示授权端点 <server>/login/oauth2/code/{registrationId}直接使用。

我想做的是使用自定义登录“页面”复制此行为。该页面应该自动“决定”应使用哪个 ClientRegistration 来启动身份验证流程。

我尝试添加带有通配符和路径变量的自定义登录页面 URL；两者都没有被插值，这会导致无效的登录请求。这确实有道理，但我还是尝试了一下。现在我有一个 Controller 方法，它接受 SPRING_SECURITY_SAVED_REQUEST -attribute，读取原始url并从中提取clientId，然后发送重定向到相应的端点:

    @GetMapping("/doLogin")
    public String login(
            @SessionAttribute("SPRING_SECURITY_SAVED_REQUEST") SavedRequest originalRequest,
            HttpServletResponse response) throws IOException {
        String originalUrl = originalRequest.getRedirectUrl();
        String[] parts = originalUrl.split("/");
        String id = parts[parts.length - 1];
        return "redirect:/login/oauth2/code/" + id;
    }

但是，由于“请求太多”，这会中断处理。

编辑 1
我刚刚发现发生“太多重定向”是因为在某处抛出了带有消息“[invalid_request]”的 OAuth2AuthenticationException 。遗憾的是它没有出现在我的堆栈中的任何地方，并且 keycloak 没有注册它，所以我无法找到更多详细信息 atm。
编辑 1 端
如果我正确理解默认登录页面，那么它在技术上不会执行任何其他操作，除了触发新请求而不是“简单”重定向。

由于每个客户端只能访问单个 ClientRegistration对象，选择应该可以在没有用户交互的情况下进行。

从我从文档中收集到的信息来看，严格来说，这种方法并不完全错误，但绝对不正确。

所以问题如下:

• 我可以编写一个登录页面来自动选择“正确”的网址来启动流程吗？
• 如何修改我的方法，使其能够完成应有的任务？

注意:虽然非常 hacky，但使用带有即时重定向的 thymeleaf 模板是可能的，但我会尽力避免这种情况。同样，在此模块之外构建身份验证起始 URL 是可能的，但也很可能不是一个可行的选择 - 除非我错过了某些内容。

最后一点:当使用单个 ClientRegistration 对象时，整个通信是开箱即用的，所以问题似乎不在服务器上。我使用 KeyCloak 9.0.0 作为 OpenId 提供程序。

Answer 1

过了一段时间，我找到了解决方案和我的错误。该方法确实有效，甚至完美，但必须使用正确的 URL。自定义登录页面必须 - 至少在我的例子中，不能直接重定向到过滤器 URL，而是重定向到

/oauth2/authorize/{clientId}

这将启动该过程并按预期完成。