spring - 将 Spring Security 注解与 keycloak 一起使用

Question

我只是 Spring Security 的初学者，但我想知道是否可以使用 @PreAuthorize、@PostAuthorize 的方式配置 keycloak >、@Secured 等注释。例如，我在简单的 Spring Rest Web 应用程序中配置了 keycloak-spring-security-adapter 和 Spring Security，以便我可以访问 Controller 中的 Primary 对象，如下所示:

@RestController
public class TMSRestController {

     @RequestMapping("/greeting")
     public Greeting greeting(Principal principal, @RequestParam(value="name") String name) {
        return new Greeting(String.format(template, name));
     }
...
}

但是当我尝试这个时(只是一个例子，实际上我想在授权之前执行自定义 EL 表达式):

@RestController
public class TMSRestController {

    @RequestMapping("/greeting")
    @PreAuthorize("hasRole('ADMIN')")
    public Greeting greeting(Principal principal, @RequestParam(value="name") String name) {
        return new Greeting(String.format(template, name));
    }
...
}

我得到异常:

org.springframework.security.authentication.AuthenticationCredentialsNotFoundException: An Authentication object was not found in the SecurityContext

在我的 spring 安全配置中，我启用了全局方法安全性:

我需要什么才能使这个 Spring 安全注释起作用？是否可以在这种情况下使用此注释？

Answer 1

这里是示例代码:

@EnableWebSecurity
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true,
                        securedEnabled = true,
                        jsr250Enabled = true)
@ComponentScan(basePackageClasses = KeycloakSecurityComponents.class)
public class WebSecurityConfig extends KeycloakWebSecurityConfigurerAdapter {
 }

和

@PreAuthorize("hasRole('ROLE_ADMIN')")

除了这段代码。您需要为领域角色和客户端(应用程序角色)进行角色映射。应用程序角色将放入@PreAuthorize