1

Spring Boot でリソース サーバーを作成しました。Spring Security 5.3 を使用して、フロントエンド交換データを認証および承認しています。access_token (jwt) を提供および検証する application.yml で、承認サーバー「issuer-uri」を構成しました。

そこまでOK。access_token や id_token で必要なすべてのユーザーの情報を認可サーバーが一度に提供しないという問題。sub クレームと access_token を使用して、エンドポイントにリクエストを送信し、ユーザーに関する追加データを取得する必要があります。

ユーザーが認証されたときにその情報を取得し、既に送信されている情報と一緒にセキュリティコンテキストに入れる方法を知りたいです。そうすれば、毎回エンドポイントにリクエストすることなく、必要に応じてサービスでその情報を取得できます。

SecurityContextHolder.getContext().getAuthentication().getDetails()

ここに私の WebSecurityConfigurerAdapter があります

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

  private static final String CLAIM_ROLES = "role";
  private static final String AUTHORITY_PREFIX = "ROLE_";
  @Value("${sso.issuers_uri}")
  private String issuers;

  Map<String, AuthenticationManager> authenticationManagers = new HashMap<>();

  JwtIssuerAuthenticationManagerResolver authenticationManagerResolver =
        new JwtIssuerAuthenticationManagerResolver(authenticationManagers::get);


  @Override
  protected void configure(HttpSecurity http) throws Exception {
    String[] result = issuers.split(",");
    List<String> arrIssuers = Arrays.asList(result);

    arrIssuers.stream().forEach(issuer -> addManager(authenticationManagers, issuer));

    http
            .httpBasic().disable()
            .formLogin(AbstractHttpConfigurer::disable)
            .csrf(AbstractHttpConfigurer::disable)
            .authorizeRequests(auth -> auth
                    .antMatchers(
                            "/*",
                            "/signin-oidc",
                            "/uri-login_unico",
                            "/assets/**","/views/**",
                            "index.html",
                            "/api/segmentos/listar_publicados",
                            "/api/modelos",
                            "/api/modelos/*"
                    ).permitAll()
                    .antMatchers(
                            "/api/admin/**"
                    ).hasRole("role.PGR.Admin")
                    .antMatchers(
                            "/api/govbr/**"
                    ).hasAnyAuthority("SCOPE_govbr_empresa")
                    .anyRequest().authenticated()
            ).oauth2ResourceServer(oauth2ResourceServer -> {
                oauth2ResourceServer.authenticationManagerResolver(this.authenticationManagerResolver);
            });
  }

  public void addManager(Map<String, AuthenticationManager> authenticationManagers, String issuer) {
    JwtAuthenticationProvider authenticationProvider = new JwtAuthenticationProvider(JwtDecoders.fromOidcIssuerLocation(issuer));
    authenticationProvider.setJwtAuthenticationConverter(getJwtAuthenticationConverter());
    authenticationManagers.put(issuer, authenticationProvider::authenticate);
  }

  private Converter<Jwt, AbstractAuthenticationToken> getJwtAuthenticationConverter() {
    JwtAuthenticationConverter jwtAuthenticationConverter = new JwtAuthenticationConverter();
    
  jwtAuthenticationConverter.setJwtGrantedAuthoritiesConverter(getJwtGrantedAuthoritiesConverter());
    return jwtAuthenticationConverter;
  }

  private Converter<Jwt, Collection<GrantedAuthority>> getJwtGrantedAuthoritiesConverter() {
    JwtGrantedAuthoritiesConverter converter = new JwtGrantedAuthoritiesConverter();
    converter.setAuthorityPrefix(AUTHORITY_PREFIX);
    converter.setAuthoritiesClaimName(CLAIM_ROLES);
    return converter;
  }

}

カスタム AuthenticationManger を実行する必要があるかどうか、または認証後にセキュリティ フィルターを使用してこれを実行できるかどうかはわかりません。誰かが私を助けてくれたら、本当に感謝しています。Tks !!!

4

0 に答える 0