使用Spring Boot和OAuth保护REST服务的安全性？

Question

如何使用Spring Boot保护REST服务（OAuth）？

最接近的方案是： http://spring.io/guides/gs/securing-web/ http://spring.io/guides/gs/authenticating-ldap/

- janetsmith

---

这是Spring源团队的一段很好的视频。https://www.youtube.com/watch?v=8uBcpsIEz2I - Srik

Answer 1

您可以很容易地将OAuth2AuthenticationProcessingFilter添加到Spring Boot应用程序中。最接近的示例可能是spring-boot-sample-secure，因为它明确添加了一个WebSecurityConfigurerAdapter，这就是您需要做的。目前Spring Boot还没有针对OAuth的原生自动配置支持（但请随意添加）。这在路线图上，但除非更多的人要求，否则不太可能得到足够的关注。

- Dave Syer

---

我认为这值得关注。我花了很多令人沮丧的时间尝试让Spring Boot和OAuth2一起工作（我想使用身份验证服务器），但最终放弃了。一个示例会很棒。 - flup

你没有说你想要实现一个授权服务器。应该更容易：只需将一个XML文件添加到您的源代码中，其中包含<oauth:authorization-server/>和所有依赖项（例如来自香草sparklr2示例）。 - Dave Syer

我不是原帖的作者，但我已经尝试过了，出现了授权管理器未指定的错误。它已经被指定了，但是在Java配置中创建的。难道XML不能依赖于Java配置，必须是自包含的吗？ - flup

我想这取决于您对它的使用。但是，如果所有的源都进入同一个ApplicationContext中，我认为它们会共享bean，因此理论上不应该出现问题。您能否更具体地描述错误信息（我认为您指的不是“authorizationmanager”，但我只能猜测您实际上指的是什么）。 - Dave Syer

是的，这是正确的 - csrf 是 Spring Security 的一个新功能，但我认为你可以添加一个自定义授权页面来呈现csrf令牌，然后你就不需要完全禁用它了。有关详细信息，请参阅主要的安全样本，超出了这篇文章的范围。 - Dave Syer