Não esqueci de você meu amigo, só não tive tempo de fazer seu exemplo mesmo :)
Abaixo coloquei um exemplo com comentários da configuração do Authorization e Resource Server:
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;
import org.springframework.security.oauth2.provider.token.TokenStore;
import org.springframework.security.oauth2.provider.token.store.InMemoryTokenStore;
@Configuration
public class OAuth2ServerConfig {
// Id da aplicação, este ID deve ser utilizado no Resource Server, isso indica que o Authorization Server está emitindo um token para ser utilizar por este Resource
private static final String APPLICATION_RESOURCE_ID = "my-application-id";
// Token store compartilhado entre o Authorization Server e o Resource Server
@Bean
public TokenStore tokenStore() {
return new InMemoryTokenStore();
}
@Configuration
@EnableAuthorizationServer
protected static class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
@Autowired
private TokenStore tokenStore;
@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
endpoints.tokenStore(tokenStore);
}
@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
// Configuração em memória de usuários para teste
clients.inMemory()
.withClient("nullptr")
.secret(passwordEncoder().encode("secret"))
.authorizedGrantTypes("client_credentials", "refresh_token")
.authorities("ROLE_ADMIN")
.scopes("read", "write")
.resourceIds(APPLICATION_RESOURCE_ID);
}
@Bean
public PasswordEncoder passwordEncoder() {
return new BCryptPasswordEncoder();
}
}
@Configuration
@EnableResourceServer
protected static class ResourceServerConfig extends ResourceServerConfigurerAdapter {
@Autowired
private TokenStore tokenStore;
// Configurações de token store e Resource Id
@Override
public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
resources.tokenStore(tokenStore).resourceId(APPLICATION_RESOURCE_ID);
}
// Configurações de autorização para a controladora
@Override
public void configure(HttpSecurity http) throws Exception {
http.requestMatchers().antMatchers("/simple").and().authorizeRequests().antMatchers("/simple").access("#oauth2.hasScope('read')");
}
}
}
Inclui esta controladora simples para executarmos os testes:
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
@RequestMapping("/simple")
public class SimpleController {
@GetMapping
public String test() {
return "Hi there :)";
}
}
Vamos então para as chamadas:
Na configuração do servidor eu configurei o client nullptr
com senha secret
, então faremos a autenticação para pegarmos o token através do Authorization Server (realizei através do Postman):
POST /oauth/token HTTP/1.1
Host: localhost:8080
Content-Type: application/x-www-form-urlencoded
Authorization: Basic bnVsbHB0cjpzZWNyZXQ=
User-Agent: PostmanRuntime/7.15.0
Accept: */*
Cache-Control: no-cache
Postman-Token: 2de597db-640f-46b2-acbd-4e5293ffe4c3,fc03c3f6-f2ce-4c15-bbbc-750102f9801d
Host: localhost:8080
cookie: JSESSIONID=2325944BF8FC184676D2C56F43193BD4
accept-encoding: gzip, deflate
content-length: 29
Connection: keep-alive
cache-control: no-cache
grant_type=client_credentials
Com este POST, obtive o token de autorização conforme o esperado:
{
"access_token": "6ffdf3e5-cf71-4426-911f-5655cddcf679",
"token_type": "bearer",
"expires_in": 43199,
"scope": "read write"
}
Agora que já obtive o token farei a requisição para a controladora, passando o token de autorização no header:
GET /simple HTTP/1.1
Host: localhost:8080
Authorization: Bearer 6ffdf3e5-cf71-4426-911f-5655cddcf679
User-Agent: PostmanRuntime/7.15.0
Accept: */*
Cache-Control: no-cache
Postman-Token: f1bbcf6b-5c97-41e8-bac2-e1cb2bcb89e7,451b27ce-2ff3-4659-b675-357b405581ad
Host: localhost:8080
cookie: JSESSIONID=2325944BF8FC184676D2C56F43193BD4
accept-encoding: gzip, deflate
Connection: keep-alive
cache-control: no-cache
E pronto, temos a resposta:
Hi there :)
Temos os casos em que enviamos a requisição sem token, e temos o retorno:
{
"error": "unauthorized",
"error_description": "Full authentication is required to access this resource"
}
E quando enviamos com token inválido:
{
"error": "invalid_token",
"error_description": "Invalid access token: meutokenerrado"
}
Com isso você já consegue ter uma base de configuração do OAuth2, você pode então desabilitar o controle de usuários inMemory()
e utilizar jdbc()
, e configurar mais detalhes de como buscar os usuários com um ClientDetailService
customizado.
Note que não configurei CORS em momento algum, caso necessário configuração e liberação de CORS deve-se utilizar as configurações que já passei anteriormente.
Você pode encontrar mais material abaixo: