知識庫 / Spring / Spring Cloud RSS 訂閱

@SpringBootApplication
@EnableWebFluxSecurity
public class ResourceServerGatewayApplication {
    public static void main(String[] args) {
        SpringApplication.run(ResourceServerGatewayApplication.class,args);
    }
}

安全相關的配置屬性與後端相同。

spring:
  security:
    oauth2:
      resourceserver:
        opaquetoken:
          introspection-uri: http://localhost:8083/auth/realms/baeldung/protocol/openid-connect/token/introspect
          client-id: quotes-client
          client-secret: <CLIENT SECRET> 

接下來，我們以與我們在 Spring Cloud Gateway 設置文章中相同的方式添加路由聲明：

... other properties omitted
  cloud:
    gateway:
      routes:
      - id: quotes
        uri: http://localhost:8085
        predicates:
        - Path=/quotes/**

請注意，除了安全依賴和屬性之外，我們並未對網關本身進行任何修改。

要運行網關應用程序，我們將使用 spring-boot:run，並使用具有所需配置的特定 profile：

$ mvn spring-boot:run -Pgateway-as-resource-server

6.1. 測試資源服務器

現在我們已經收集了所有拼圖的碎片，讓我們將它們組合起來。首先，我們需要確保 Keycloak、引用後端和網關都已運行。

接下來，我們需要從 Keycloak 獲取訪問令牌。 最直接的方法是使用密碼授權流程（也稱為“資源所有者”）。這意味着向 Keycloak 發送 POST 請求，其中包含一個用户的用户名/密碼，以及用於引用客户端應用程序的客户端 ID 和密鑰：

$ curl -L -X POST \
  'http://localhost:8083/auth/realms/baeldung/protocol/openid-connect/token' \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'client_id=quotes-client' \
  --data-urlencode 'client_secret=0e082231-a70d-48e8-b8a5-fbfb743041b6' \
  --data-urlencode 'grant_type=password' \
  --data-urlencode 'scope=email roles profile' \
  --data-urlencode 'username=john.snow' \
  --data-urlencode 'password=1234'

響應將是一個 JSON 對象，其中包含訪問令牌，以及其他值：

{
	"access_token": "...omitted",
	"expires_in": 300,
	"refresh_expires_in": 1800,
	"refresh_token": "...omitted",
	"token_type": "bearer",
	"not-before-policy": 0,
	"session_state": "7fd04839-fab1-46a7-a179-a2705dab8c6b",
	"scope": "profile email"
}

我們現在可以使用返回的訪問令牌來訪問 /quotes API：

$ curl --location --request GET 'http://localhost:8086/quotes/BAEL' \
--header 'Accept: application/json' \
--header 'Authorization: Bearer xxxx...'

<p>哪個會產生一個 JSON 格式的報價？</p>

{
  "symbol":"BAEL",
  "price":12.0
}

讓我們重複這個過程，這次使用 Maxwell Smart 的訪問令牌：

{
  "symbol":"BAEL",
  "price":10.0
}

我們注意到我們擁有更低的價格，這意味着後端能夠正確地識別出相關的用户。 此外，我們還可以確認未認證的請求不會被傳播到後端，通過使用不帶Authorization 標頭的 curl 請求來驗證：

$ curl  http://localhost:8086/quotes/BAEL

檢查網關日誌，我們發現沒有與請求轉發過程相關的消息。 這表明響應是在網關生成的。

7. Spring Gateway 作為 OAuth 2.0 客户端

對於啓動類，我們將使用與資源服務器版本相同的版本。 這旨在強調所有安全行為都來自可用的庫和屬性。

實際上，將兩者進行比較時，唯一明顯的差異在於配置屬性。在這裏，我們需要使用 issuer-uri 屬性或各個端點（授權、令牌和內省）的單獨設置來配置提供者詳情。

我們還需要定義應用程序客户端註冊詳情，其中包括請求的範圍。這些範圍告知 IdP 通過內省機制將哪些信息項可用。

... other propeties omitted
  security:
    oauth2:
      client:
        provider:
          keycloak:
            issuer-uri: http://localhost:8083/auth/realms/baeldung
        registration:
          quotes-client:
            provider: keycloak
            client-id: quotes-client
            client-secret: <CLIENT SECRET>
            scope:
            - email
            - profile
            - roles

最後，在路由定義部分，還有一項重要的變更。任何需要傳播訪問令牌的路由都必須添加 TokenRelay 過濾器：

spring:
  cloud:
    gateway:
      routes:
      - id: quotes
        uri: http://localhost:8085
        predicates:
        - Path=/quotes/**
        filters:
        - TokenRelay=

如果希望所有路由都啓動授權流程，我們可以將 TokenRelay 過濾器添加到 default-filters 部分：

spring:
  cloud:
    gateway:
      default-filters:
      - TokenRelay=
      routes:
... other routes definition omitted

7.1. 測試 Spring Gateway 作為 OAuth 2.0 客户端

為了測試環境，我們還需要確保三個項目組件都在運行。 這一次，我們將使用包含所需屬性的不同 Spring 配置文件來運行 Gateway，使其作為 OAuth 2.0 客户端。 該示例項目的 POM 包含一個配置文件，允許我們啓用此配置運行 Gateway。

$ mvn spring-boot:run -Pgateway-as-oauth-client

網關運行後，我們可以通過將瀏覽器指向 http://localhost:8087/quotes/BAEL 進行測試。如果一切正常，我們將會被重定向到 IdP 的登錄頁面。

由於我們使用了 Maxwell Smart 的憑據，我們再次獲得了一份價格較低的報價。

為了總結我們的測試，我們將使用匿名/隱身瀏覽器窗口，並使用 John Snow 的憑據測試此端點。 此時我們獲得了正常的報價價格。

8. 結論

在本文中，我們探討了 OAuth 2.0 安全模式及其使用 Spring Cloud Gateway 實現的方法。