java - example - Spring OAuth2 checkUserScopes no funciona como se esperaba

spring security rest token authentication

Question

En primer lugar, de acuerdo con Spring doc , si quiero asignar funciones de usuario a ámbitos, debo usar setCheckUserScopes (true) para DefaultOAuth2RequestFactory. Entonces, una forma de hacerlo es inyectar mi propio bean DefaultOAuth2RequestFactory, como dice el documento:

The AuthorizationServerEndpointsConfigurer allows you to inject a custom OAuth2RequestFactory so you can use that feature to set up a factory if you use @EnableAuthorizationServer.

Entonces lo hago

@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServerConfig extends
AuthorizationServerConfigurerAdapter {
...
@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints)
throws Exception {
endpoints.authenticationManager(authenticationManager)
.tokenStore(tokenStore)
.tokenServices(tokenServices());
endpoints
.getOAuth2RequestFactory(); // this doesn''t return me my own DefaultOAuth2RequestFactory
}
@Bean
@Primary
public OAuth2RequestFactory defaultOAuth2RequestFactory() {
DefaultOAuth2RequestFactory defaultOAuth2RequestFactory = new DefaultOAuth2RequestFactory(
clientDetailsService);
defaultOAuth2RequestFactory.setCheckUserScopes(true);
return defaultOAuth2RequestFactory;
}
}

EDITAR

He pasado por alto el método requestFactory () de AuthorizationServerEndpointsConfigurer. Esa era la forma correcta de pasarlo a Spring Security. Establecer el bean OAuth2RequestFactory como primario no funcionó. He eliminado algunas cosas para enfocarme en el problema real:

Después de esta observación, el problema real:

como yo entiendo, si el usuario tiene las autoridades A y B, y la aplicación tiene alcance A, entonces solo obtiene el alcance ''A''. Pero esto no está sucediendo. Lo que realmente está sucediendo es que si la aplicación tiene un alcance A, y la APLICACIÓN (no el usuario) tiene las autoridades A y B, entonces el usuario obtiene A. Pero esto no tiene ningún sentido. Este es el método DefaultOAuth2RequestFactory que resuelve los ámbitos del usuario:

private Set<String> extractScopes(Map<String, String> requestParameters, String clientId) {
... // I avoid some unimportant lines to not make this post so long
if ((scopes == null || scopes.isEmpty())) {
scopes = clientDetails.getScope();
}
if (checkUserScopes) {
scopes = checkUserScopes(scopes, clientDetails);
}
return scopes;
}
private Set<String> checkUserScopes(Set<String> scopes, ClientDetails clientDetails) {
if (!securityContextAccessor.isUser()) {
return scopes;
}
Set<String> result = new LinkedHashSet<String>();
Set<String> authorities = AuthorityUtils.authorityListToSet(securityContextAccessor.getAuthorities());
for (String scope : scopes) {
if (authorities.contains(scope) || authorities.contains(scope.toUpperCase())
|| authorities.contains("ROLE_" + scope.toUpperCase())) {
result.add(scope);
}
}
return result;
} 

¿Es esto un error? Por favor dime si estoy equivocado. Saludos

Answer 1

Necesita cablear su OAuth2RequestFactory por código, algo así como aquí .

Si las autoridades están establecidas por ClientDetailsService, entonces deberías estar bien. Si buscas mapear las autoridades de usuario registradas no tengo suerte allí tampoco .