spring - Azure B2C 访问 token NULL Spring OAuth 2.0

Question

我正在尝试让自定义 Web 应用程序与 Azure B2C OAuth 和 Spring OAuth2.0 框架配合使用。

身份验证部分正常返回，我收到了 JWT token 。当随后发生 token 请求时，我收到以下错误:

java.lang.IllegalStateException: Access token provider returned a null access token, which is illegal according to the contract.
at org.springframework.security.oauth2.client.OAuth2RestTemplate.acquireAccessToken(OAuth2RestTemplate.java:223) ~[spring-security-oauth2-2.0.8.RELEASE.jar:na]
at org.springframework.security.oauth2.client.OAuth2RestTemplate.getAccessToken(OAuth2RestTemplate.java:173) ~[spring-security-oauth2-2.0.8.RELEASE.jar:na]
...

从 Spring 代码的一些调试中，我可以看到 token 预计被称为 access_token，如 OAuth2AccessToken 类中所示。从 B2C 教程来看，他们的 token 称为 token_id。此外，我的 Spring 应用程序的 applications.yml 配置有一个名为 tokenName 的字段。当然，这应该用于获取 token 名称字段，而不是如上所述的硬编码静态变量。

我是否遗漏了什么以及我的问题是否有解决方案。我可以覆盖 Spring OAuth 框架使用的 token 名称字段吗？

Answer 1

我将继续将其作为答案发布。

我从 Spring 教程开始，并对它做了一些修改。有关工作示例，请参阅公共(public) github 存储库:https://github.com/Pytry/azure-b2c-oauth2.git

要正确解析收到的 token ，您需要:

• AccessToken 的自定义实现，它将解析 JWT，根据 Spring Security 的要求提取和设置变量。我扩展了 DefaultOAuth2AccessToken 并将此解析添加到构造函数调用的私有(private)方法中。

• 如果您要使用公钥验证 RSA 签名，则需要一个自定义 JWT 对象，以便可以访问 header 信息。我选择扩展 springs JWT，并在创建时添加一些解析以访问 header 。使用一些自定义 Pojo 来解析返回的元数据和 rsakey 信息也可能很有用。

• JwtAccessTokenConverter 的扩展，具有重写的“解码”方法。 Azure 不会在返回的 id_token 中提供“user_name”或“client_id”，因此您需要添加它们。我还在父类(super class)中包含了一些我认为有效的逻辑(例如在适当的时候将字符串转换为 int/long)。

• 自定义 UserDetailsManger，用于覆盖内存中的默认值。这可以从 GraphAPI 检索用户信息，也可以从用户存储库加载它。我实际上没有创建其中任何一个，而是使用内存服务中的默认值，但将其注入(inject)到 token 转换器中；然后，只要用户经过正确的身份验证，我就会将它们添加到管理器存储中，或者更新它们(如果它们已经存在)。

还有一些事情我还没有做。

• 未进行 RSA 验证。如有任何帮助，我们将不胜感激。