Probleme mit Berechtigungen (Autorisierung) bei der Verwendung des OAuth 2.0-Ressourcenserver-JWT

Bei der Verwendung von OAuth 2.0 Resource Server JWT treten manchmal Berechtigungsprobleme (Autorisierungsprobleme) auf. Dies ist eine Herausforderung, mit der viele Entwickler während des Entwicklungsprozesses häufig konfrontiert werden. OAuth 2.0 ist ein offener Standard für die Autorisierung, der es Benutzern ermöglicht, Anwendungen von Drittanbietern den Zugriff auf ihre geschützten Ressourcen zu autorisieren. JWT (JSON Web Token) ist eine Möglichkeit, Ansprüche zwischen Webanwendungen weiterzugeben. In der Praxis können jedoch einige Berechtigungsprobleme auftreten, z. B. ein Autorisierungsfehler, ein Fehler beim Erhalten von Zugriffstoken usw. In diesem Artikel werden diese Probleme analysiert und einige Lösungen bereitgestellt, die Entwicklern helfen sollen, das OAuth 2.0-Ressourcenserver-JWT besser zu nutzen.

Frageninhalt

Ich versuche, die Zugriffsberechtigung mithilfe des Oauth 2.0-Ressourcenserver-JWT in einer einfachen Anwendung zu konfigurieren.

Der gesamte Authentifizierungsteil funktioniert einwandfrei, aber ich habe Probleme mit der Autorisierung. Alle geschützten Endpunkte geben 403 forbidden-Fehler aus, obwohl die richtigen Berechtigungen im Token vorhanden sind.

Ich habe versucht, das Standardattribut „scope_“ zu verwenden und die Konfiguration in „role“ (role_) zu ändern, aber das Problem besteht weiterhin.

Weiß jemand, wie man das Problem löst?

Vollständiger Quellcode: https://github.com/gustavosc1/spring-security-jwt

Generate token example: eyjhbgcioijsuzi1nij9.eyjpc3mioijzchjpbmctc2vjdxjpdhktand0iiwic3viijoidxnlcm5hbwuilcjlehaioje3mdu0ndmyotqsimlhdci6mtcwntqwnzi5ncwicm9szxmi oijst0xfx0fe tuloin0.peivwrthx_7mr6eefqbid5dplhffzcvd7scmmt3f7rk7sk1i6kerpqi5ubdvaefnzsjq6vka5nadltsbqidfzogmoixjktfhsc5zrnyyrhikvnwcwb3wrgdd1ezgihaldfjxwxsyypau njwdxznirkl93e6mg1uao 5piy9p-9yp8jer7o31wkdr1coskzk3gqw42uecib9h1rrlkx9pdk7pf9rtfssfcwc-ntvismrycreco9rialqfydpdzeojimcbqveyboqfhn2woepgdm8mr5zsdhgdq e1ivsibfbcj_0486zuqiksxp2knilj hl2b5qnan07fjpvslk--ccsg

Sicherheitskonfiguration:

@configuration
@enablewebsecurity
//@enablemethodsecurity(prepostenabled = true)
public class securityconfig {
  @value("${jwt.public.key}")
  private rsapublickey key;
  @value("${jwt.private.key}")
  private rsaprivatekey priv;

  @bean
  securityfilterchain filterchain(httpsecurity http) throws exception {
    http.csrf(csrf -> csrf.disable())
        .authorizehttprequests(
            auth -> auth
                .requestmatchers("/authenticate").permitall()
                .requestmatchers("/register").permitall()
                .requestmatchers("/private").hasanyrole("admin"))
        .httpbasic(customizer.withdefaults())
        
        // https://docs-spring-io.translate.goog/spring-security/reference/servlet/oauth2/resource-server/jwt.html?_x_tr_sl=en&_x_tr_tl=pt&_x_tr_hl=pt-br&_x_tr_pto=sc
        .oauth2resourceserver(
                conf -> conf.jwt(
                    jwt -> jwt.decoder(jwtdecoder())
                    .jwtauthenticationconverter(jwtauthenticationconverter())));
                
    return http.build();
  }
  
  @bean
  public jwtauthenticationconverter jwtauthenticationconverter() {
      jwtgrantedauthoritiesconverter grantedauthoritiesconverter = new jwtgrantedauthoritiesconverter();
      grantedauthoritiesconverter.setauthoritiesclaimname("roles");
      grantedauthoritiesconverter.setauthorityprefix("role_");

      jwtauthenticationconverter jwtauthenticationconverter = new jwtauthenticationconverter();
      jwtauthenticationconverter.setjwtgrantedauthoritiesconverter(grantedauthoritiesconverter);
      return jwtauthenticationconverter;
  }

  @bean
  jwtdecoder jwtdecoder() {
    return nimbusjwtdecoder.withpublickey(this.key).build();
  }

  @bean
  jwtencoder jwtencoder() {
    jwk jwk = new rsakey.builder(this.key).privatekey(this.priv).build();
    jwksource<securitycontext> jwks = new immutablejwkset<>(new jwkset(jwk));
    return new nimbusjwtencoder(jwks);
  }
  
  @bean
  passwordencoder passwordencoder() {
    return new bcryptpasswordencoder();
  }
  
}

userdetailsserviceimpl:

@service
public class userdetailsserviceimpl implements userdetailsservice {
  private final userrepository userrepository;

  public userdetailsserviceimpl(userrepository userrepository) {
    this.userrepository = userrepository;
  }

  @override
  public userdetails loaduserbyusername(string username) throws usernamenotfoundexception {
    optional<user> useroptional = userrepository.findbyusername(username);
    
    user user = useroptional.orelsethrow(() -> new usernamenotfoundexception("user not found with username: " + username));
    
    return new userauthenticated(user.getusername(), user.getpassword());
  }

}

Benutzerverifiziert:

public class userauthenticated implements userdetails {
  
  private string username;
  private string password;

  public userauthenticated(string username, string password) {
    this.username = username;
    this.password = password;
  }

  @override
  public string getusername() {
    return username;
  }

  @override
  public string getpassword() {
    return password;
  }

  @override
  public collection<? extends grantedauthority> getauthorities() {
    return list.of(() -> "role_admin");
  }

  @override
  public boolean isaccountnonexpired() {
    return true;
  }

  @override
  public boolean isaccountnonlocked() {
    return true;
  }

  @override
  public boolean iscredentialsnonexpired() {
    return true;
  }

  @override
  public boolean isenabled() {
    return true;
  }

}

jwtservice:

@service
public class jwtservice {
  private final jwtencoder encoder;

  public jwtservice(jwtencoder encoder) {
    this.encoder = encoder;
  }

  public string generatetoken(authentication authentication) {
    instant now = instant.now();
    long expiry = 36000l;

    string scope = authentication
        .getauthorities().stream()
        .map(grantedauthority::getauthority)
        .collect(collectors
            .joining(" "));

    jwtclaimsset claims = jwtclaimsset.builder()
        .issuer("spring-security-jwt")
        .issuedat(now)
        .expiresat(now.plusseconds(expiry))
        .subject(authentication.getname())
        .claim("roles", scope)
        .build();

    return encoder.encode(
        jwtencoderparameters.from(claims))
        .gettokenvalue();
  }

}

Privater Verantwortlicher:

@RestController
@RequestMapping("private")
public class PrivateController {

  @GetMapping
  //@PreAuthorize("hasAuthority('ROLE_ADMIN')")
  public String getMessage() {
    return "Hello from private API controller";
  }
  
}

Workaround

hat das bereitgestellte Token generiert und wird roles 字段设置为 ROLE_ADMIN。在 jwtAuthenticationConverter() 中，您尝试将 setAuthorityPrefix 与 ROLE 一起使用，导致 ROLE_ROLE_ADMIN.

Um dies zu korrigieren, ändern Sie die Zeile in grantedAuthoritiesConverter.setAuthorityPrefix("");.

Nachdem Sie diese Anpassung vorgenommen haben, sollte das Problem behoben sein. Wenn Sie auf andere Probleme stoßen, lassen Sie es mich bitte wissen.

Achtung:

Wenn Sie diesen Schritt auslassen, lautet das Standardpräfix SCOPE，导致您的角色变为 SCOPE_ROLE_ADMIN.

Das obige ist der detaillierte Inhalt vonProbleme mit Berechtigungen (Autorisierung) bei der Verwendung des OAuth 2.0-Ressourcenserver-JWT. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!