ajax - Spring Security + Keycloak - 如何结合 "Access Token Lifespan"处理Ajax请求

Question

我最近在我的 Primefaces Spring-Boot Web 应用程序中实现了 Keycloak。这一切都很好，除了一件事:Ajax 在“访问 token 生命周期”下的 keycloak 中设置的内容之后请求“超时”。没有重定向。 ajaxStatus 永远不会结束，用户被迫重新加载页面。查看请求，我返回 401“未经授权”。

例如用户加载一个站点并做他想做的任何事情。 5 分钟后没有重新加载或导航到另一个页面，ajax 请求未授权。

所以我的问题是:在这种情况下的最佳做法是什么？这甚至是预期的行为吗？

我看到以下选项:

1. 增加“访问 token 生命周期”
2. 如果用户不再被授权，则拦截 ajax 调用并重新加载页面 -> 用户可能会丢失他在网站上所做的输入
3. 在其当前生命周期内的每个 ajax 调用上刷新访问 token 生命周期 -> 这甚至可能吗？

这是我的 SpringSecurity 和 Keycloak 配置:

@Configuration
@KeycloakConfiguration
@EnableWebSecurity
@EnableGlobalMethodSecurity(proxyTargetClass = true)
public class SpringSecurityConfig extends KeycloakWebSecurityConfigurerAdapter {


    private KeycloakClientRequestFactory keycloakClientRequestFactory;

    @Inject
    public void setKeycloakClientRequestFactory(KeycloakClientRequestFactory keycloakClientRequestFactory) {
        this.keycloakClientRequestFactory = keycloakClientRequestFactory;
    }

    @Inject
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        KeycloakAuthenticationProvider keycloakAuthenticationProvider = keycloakAuthenticationProvider();
        SimpleAuthorityMapper grantedAuthorityMapper = new SimpleAuthorityMapper();
        grantedAuthorityMapper.setPrefix("ROLE_");
        grantedAuthorityMapper.setConvertToUpperCase(true);
        keycloakAuthenticationProvider.setGrantedAuthoritiesMapper(grantedAuthorityMapper);
        auth.authenticationProvider(keycloakAuthenticationProvider);
    }

    @Bean
    public KeycloakConfigResolver KeycloakConfigResolver() {
        return new KeycloakSpringBootConfigResolver();
    }

    @Bean
    @Override
    protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {
        return new RegisterSessionAuthenticationStrategy(
                new SessionRegistryImpl());
    }

    @Bean
    public FilterRegistrationBean keycloakAuthenticationProcessingFilterRegistrationBean(
            KeycloakAuthenticationProcessingFilter filter) {
        FilterRegistrationBean registrationBean = new FilterRegistrationBean(filter);
        registrationBean.setEnabled(true);
        return registrationBean;
    }

    @Bean
    public FilterRegistrationBean keycloakPreAuthActionsFilterRegistrationBean(
            KeycloakPreAuthActionsFilter filter) {
        FilterRegistrationBean registrationBean = new FilterRegistrationBean(filter);
        registrationBean.setEnabled(true);
        return registrationBean;
    }


    @Override
    protected void configure(HttpSecurity http) throws Exception {
        super.configure(http);
        http
                .authorizeRequests()
                    .antMatchers("/resources/**").permitAll()
                    .antMatchers("/javax.faces.resource/**").permitAll()
                    .antMatchers("/pages/accessdenied*").permitAll()
                    .antMatchers("/pages/admin/**").hasRole("ADMIN")
                    .antMatchers("/pages/shared/**").permitAll()
                    .antMatchers("/pages/**").hasRole("ADMIN")
                    .anyRequest().authenticated()
                .and()
                    .csrf().disable();
    }


}

key 斗篷设置

keycloak.enabled=true
keycloak.auth-server-url=http://host:8090/auth
keycloak.realm="realm"
keycloak.public-client=true
keycloak.resource="client-name"
keycloak.principal-attribute=preferred_username

Answer 1

由于 Spring Security Adapter 使用 Web session ，我建议您执行两个步骤(您至少需要实现第二个步骤):

<强>1。增加领域的 KC session 超时:

这表明 session 将持续多长时间才能访问(负责刷新 token 的生命周期)。此值与您希望让用户无需再次验证自己的多少有关。

不建议增加访问 token 生命周期，因为可以拦截一个 token 的攻击者将有更宽的时间窗口来执行有效操作。

<强>2。在你的view端，控制401异常

即使您的 session 持续时间很长，401 异常仍然会发生。所以你需要在 View 端控制它们。例如，使用 AngularJs，在发生 401 代码时将用户重定向到登录页面的一种非常基本的方法可能是这样的(放入一些拦截器):

function responseError(response) {
    console.log('error: ' + JSON.stringify(response));
    if (!(response.status === 401)) {
        $rootScope.$emit('httpError', response);
    } else {
        //401 error
        window.location.href = window.location.protocol + '//'
                + window.location.host + '/sso/logout';
    }
    return $q.reject(response);
}

对于 Primefaces，最好的办法是在服务器过滤器中实现一些逻辑，如果您的业务逻辑发送 401 响应，它会发送重定向到 /SSO/logout。