Spring Security OAuth 2.0 资源服务器— JWT

news2024/12/24 2:30:55

目录

一、JWT的最小依赖

二、JWT的最基本配置

1、指定授权服务器

2、初始预期（Startup Expectations）

3、运行时预期（Runtime Expectations）

三、JWT认证是如何工作的

四、直接指定授权服务器 JWK Set Uri

五、提供 audiences

六、覆盖或取代启动自动配置

1、使用jwkSetUri()

2、使用decoder()

3、暴露一个JwtDecoder@Bean

七、配置受信任的算法

1、通过Spring Boot实现

2、使用 Builder

3、来自 JWK Set 的响应

八、信任单一非对称密钥

1、通过 Spring Boot 实现

2、使用 Builder

九、信任单一对称密钥

十、配置 Authorization（授权）

1、手动提取权限

十一、配置验证

1、自定义时间戳验证

2、配置自定义验证器（Validator）

十二、配置 Claim 集映射

1、定制单一 Claim 的转换

2、添加 Claim

3、删除 Claim

4、重命名 Claim

5、配置超时

一、JWT的最小依赖

大多数资源服务器支持被收集到 spring-security-oauth2-resource-server 中。然而，对JWT的解码和验证的支持是在 spring-security-oauth2-jose 中，这意味着为了拥有一个支持JWT编码的 Bearer Token 的工作资源服务器，两者都是必要的。

二、JWT的最基本配置

在使用 Spring Boot 时，将一个应用程序配置为资源服务器包括两个基本步骤。首先，包括所需的依赖，其次，指定授权服务器的位置。

1、指定授权服务器

在Spring Boot应用程序中，要指定使用哪一个授权服务器，只需：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: https://idp.example.com/issuer

其中 idp.example.com/issuer，是授权服务器将发出的JWT令牌的 iss claim 中包含的值。资源服务器将使用这个属性来进一步自我配置，发现授权服务器的公钥，并随后验证传入的 JWT。

要使用 issuer-uri 属性，还必须是 idp.example.com/issuer/.well-known/openid-configuration、idp.example.com/.well-known/openid-configuration/issuer 或 idp.example.com/.well-known/oauth-authorization-server/issuer 中的一个是授权服务器的支持端点。这个端点被称为 提供者配置 端点或 授权服务器元数据 端点。

就这样！

2、初始预期（Startup Expectations）

当使用该属性和这些依赖关系时，资源服务器将自动配置自己以验证JWT编码的Bearer Token。

它通过一个确定性的启动过程来实现这一点。

  1. 查询提供者配置或授权服务器元数据端点的 jwks_url 属性
  2. 查询 jwks_url 端点的支持算法
  3. 配置验证策略，以查询 jwks_url 中找到的算法的有效公钥。
  4. 配置验证策略，根据 idp.example.com，验证每个JWTs iss claim。

这个过程的一个结果是，授权服务器必须启动并接收请求，以便资源服务器成功启动。

如果在资源服务器查询时，授权服务器已经停机（给定适当的超时），那么启动将失败。

3、运行时预期（Runtime Expectations）

一旦应用程序启动，资源服务器将尝试处理任何包含 Authorization: Bearer 头的请求。

GET / HTTP/1.1
Authorization: Bearer some-token-value # Resource Server will process this

只要指定了这个 scheme，资源服务器就会尝试根据 Bearer Token 规范来处理请求。

给定一个格式良好的JWT，资源服务器将：

  1. 根据启动期间从 jwks_url 端点获得的公钥验证其签名，并与JWT相匹配。
  2. 验证JWT的 exp 和 nbf 时间戳以及JWT的 iss claim。
  3. 将每个 scope 映射到一个前缀为 SCOPE_ 的授权。

随着授权服务器提供新的密钥，Spring Security将自动轮换用于验证JWTs的密钥。

由此产生的 Authentication#getPrincipal 默认为Spring Security Jwt 对象，Authentication#getName 映射到JWT的 sub 属性，如果有的话。

从这里，考虑跳转到：

  • JWT认证是如何工作的
  • 如何在不将资源服务器的启动与授权服务器的可用性挂钩的情况下进行配置
  • 如何在非Spring Boot的情况下进行配置

三、JWT认证是如何工作的

接下来，让我们看看Spring Security用来支持基于servlet的应用程序中的 JWT 认证的架构组件，比如我们刚才看到的那个。

JwtAuthenticationProvider 是一个 AuthenticationProvider 实现，利用 JwtDecoder 和 JwtAuthenticationConverter 来验证JWT。

让我们来看看 JwtAuthenticationProvider 是如何在Spring Security中工作的。图中解释了数字中的 AuthenticationManager 在 读取 Bearer Token时的工作细节。

Figure 1. JwtAuthenticationProvider Usage

读取 Bearer Token 的认证 Filter 将一个 BearerTokenAuthenticationToken 传递给由 ProviderManager 实现的认证管理器。

ProviderManager 被配置为使用一个 JwtAuthenticationProvider 类型的 AuthenticationProvider。

JwtAuthenticationProvider 使用 JwtDecoder 对 Jwt 进行解码、验证和确认。

JwtAuthenticationProvider 然后使用 JwtAuthenticationConverter 将 Jwt 转换为授予权限的集合（Collection ）。

当认证成功时，返回的 Authentication 是 JwtAuthenticationToken 类型的，并且有一个 principal 是由配置的 JwtDecoder 返回的 Jwt。最终，返回的 JwtAuthenticationToken 将被认证 Filter 设置在 SecurityContextHolder 上。

四、直接指定授权服务器 JWK Set Uri

如果授权服务器不支持任何配置端点，或者如果资源服务器必须能够独立于授权服务器启动，那么也可以提供 jwk-set-uri。

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: https://idp.example.com
          jwk-set-uri: https://idp.example.com/.well-known/jwks.json

JWK Set uri不是标准化的，但通常可以在授权服务器的文档中找到。

因此，资源服务器在启动时将不会ping授权服务器。我们仍然指定了 issuer-uri，这样资源服务器仍然会验证传入的JWT的 iss claim。

This property can also be supplied directly on the DSL.

五、提供 audiences

如前所述，issuer-uri 属性验证了 iss claim；这是谁发送的JWT。

Boot 还具有用于验证 aud claim 的 audiences 属性；这是 JWT 的发送对象。

资源服务器的 audience 可以这样表示：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: https://idp.example.com
          audiences: https://my-resource-server.example.com

如果需要，你也可以 通过编程添加 aud 验证。

结果是，如果 JWT 的 iss claim 不是 idp.example.com，且其 aud claim 的列表中不包含 my-resource-server.example.com，则验证将失败。

六、覆盖或取代启动自动配置

有两个 @Bean 是Spring Boot代表资源服务器生成的。

第一个是 SecurityFilterChain，它将应用程序配置为资源服务器。当包括 spring-security-oauth2-jose 时，这个 SecurityFilterChain 看起来像：

Default JWT Configuration

  • Java
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http
        .authorizeHttpRequests(authorize -> authorize
            .anyRequest().authenticated()
        )
        .oauth2ResourceServer((oauth2) -> oauth2.jwt(Customizer.withDefaults()));
    return http.build();
}

如果应用程序没有公开 SecurityFilterChain Bean，那么Spring Boot将公开上述的默认bean。

替换它就像在应用程序中公开该bean一样简单。

Custom JWT Configuration

  • Java
@Configuration
@EnableWebSecurity
public class MyCustomSecurityConfiguration {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/messages/**").hasAuthority("SCOPE_message:read")
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .jwtAuthenticationConverter(myConverter())
                )
            );
        return http.build();
    }
}

以上要求任何以 /messages/ 开头的URL的scope为 message:read。

oauth2ResourceServer DSL上的方法也将覆盖或取代自动配置。

例如，Spring Boot 创建的第二个 @Bean 是一个 JwtDecoder，它 将 String token 解码为 Jwt 的验证实例。

JWT Decoder

  • Java
@Bean
public JwtDecoder jwtDecoder() {
    return JwtDecoders.fromIssuerLocation(issuerUri);
}

调用 JwtDecoders#fromIssuerLocation 就是调用提供者配置或授权服务器元数据端点，以便导出JWK Set Uri。

如果应用程序没有暴露一个 JwtDecoder Bean，那么Spring Boot将暴露上述默认的 JwtDecoder。

它的配置可以用 jwkSetUri() 重写或用 decoder() 替换。

或者，如果你根本没有使用Spring Boot，那么这两个组件—​filter chain 和 JwtDecoder 都可以用XML指定。

过滤器链（filter chain）是这样指定的。

Default JWT Configuration

  • Java
<http>
    <intercept-uri pattern="/**" access="authenticated"/>
    <oauth2-resource-server>
        <jwt decoder-ref="jwtDecoder"/>
    </oauth2-resource-server>
</http>

而 JwtDecoder 是这样的：

JWT Decoder

  • Java
<bean id="jwtDecoder"
        class="org.springframework.security.oauth2.jwt.JwtDecoders"
        factory-method="fromIssuerLocation">
    <constructor-arg value="${spring.security.oauth2.resourceserver.jwt.jwk-set-uri}"/>
</bean>

1、使用jwkSetUri()

授权服务器的 JWK Set Uri 可以 作为一个配置属性 来配置，也可以在DSL中提供。

JWK Set Uri Configuration

  • Java
@Configuration
@EnableWebSecurity
public class DirectlyConfiguredJwkSetUri {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .jwkSetUri("https://idp.example.com/.well-known/jwks.json")
                )
            );
        return http.build();
    }
}

使用 jwkSetUri() 优先于任何配置属性。

2、使用decoder()

比 jwkSetUri() 更强大的是 decoder()，它将完全取代 JwtDecoder 的任何Boot自动配置。

JWT Decoder Configuration

  • Java
@Configuration
@EnableWebSecurity
public class DirectlyConfiguredJwtDecoder {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .decoder(myCustomDecoder())
                )
            );
        return http.build();
    }
}

当需要更深入的配置时，如 validation、mapping或request timeouts，这很方便。

3、暴露一个JwtDecoder@Bean

或者，暴露一个JwtDecoder @Bean 与 decoder() 有同样的效果。

你可以像这样用 jwkSetUri 构建一个：

  • Java
@Bean
public JwtDecoder jwtDecoder() {
    return NimbusJwtDecoder.withJwkSetUri(jwkSetUri).build();
}

或者你可以使用 issuer，并让 NimbusJwtDecoder 在调用 build() 时查找 jwkSetUri，如下所示：

  • Java
@Bean
public JwtDecoder jwtDecoder() {
    return NimbusJwtDecoder.withIssuerLocation(issuer).build();
}

或者，如果默认值对你有效，你也可以使用 JwtDecoders，除了配置 decoder 的验证器之外，它还可以完成上述工作：

  • Java
@Bean
public JwtDecoders jwtDecoder() {
    return JwtDecoders.fromIssuerLocation(issuer);
}

七、配置受信任的算法

默认情况下，NimbusJwtDecoder，以及资源服务器，将只信任和验证使用 RS256 的令牌。

你可以通过Spring Boot、NimbusJwtDecoder builder或从 JWK Set response 中定制。

1、通过Spring Boot实现

设置算法的最简单方法是配置一个属性。

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          jws-algorithm: RS512
          jwk-set-uri: https://idp.example.org/.well-known/jwks.json

2、使用 Builder

不过，为了获得更大的权力，我们可以使用 NimbusJwtDecoder 附带的一个构建器。

  • Java
@Bean
JwtDecoder jwtDecoder() {
    return NimbusJwtDecoder.withIssuerLocation(this.issuer)
            .jwsAlgorithm(RS512).build();
}

多次调用 jwsAlgorithm 将配置 NimbusJwtDecoder 以信任一种以上的算法，像这样。

  • Java
@Bean
JwtDecoder jwtDecoder() {
    return NimbusJwtDecoder.withIssuerLocation(this.issuer)
            .jwsAlgorithm(RS512).jwsAlgorithm(ES512).build();
}

或者，你可以调用 jwsAlgorithms。

  • Java
@Bean
JwtDecoder jwtDecoder() {
    return NimbusJwtDecoder.withIssuerLocation(this.issuer)
            .jwsAlgorithms(algorithms -> {
                    algorithms.add(RS512);
                    algorithms.add(ES512);
            }).build();
}

3、来自 JWK Set 的响应

由于 Spring Security 的 JWT 支持基于 Nimbus，因此你也可以使用它的所有强大功能。

例如，Nimbus有一个 JWSKeySelector 实现，它将根据JWK Set URI的响应（Response）来选择算法集。你可以用它来生成一个 NimbusJwtDecoder，像这样。

  • Java
@Bean
public JwtDecoder jwtDecoder() {
    // makes a request to the JWK Set endpoint
    JWSKeySelector<SecurityContext> jwsKeySelector =
            JWSAlgorithmFamilyJWSKeySelector.fromJWKSetURL(this.jwkSetUrl);

    DefaultJWTProcessor<SecurityContext> jwtProcessor =
            new DefaultJWTProcessor<>();
    jwtProcessor.setJWSKeySelector(jwsKeySelector);

    return new NimbusJwtDecoder(jwtProcessor);
}

八、信任单一非对称密钥

比用JWK Set端点支持资源服务器更简单的是硬编码一个RSA公钥。公钥可以通过Spring Boot或 使用 Builder来提供。

1、通过 Spring Boot 实现

通过Spring Boot指定一个密钥是非常简单的。密钥的位置可以像这样指定。

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          public-key-location: classpath:my-key.pub

或者，为了能够进行更复杂的查询，你可以用 RsaKeyConversionServicePostProcessor 进行后处理。

  • Java
@Bean
BeanFactoryPostProcessor conversionServiceCustomizer() {
    return beanFactory ->
        beanFactory.getBean(RsaKeyConversionServicePostProcessor.class)
                .setResourceLoader(new CustomResourceLoader());
}

指定你的key的位置。

key.location: hfds://my-key.pub

然后自动注入value。

  • Java
@Value("${key.location}")
RSAPublicKey key;

2、使用 Builder

要直接连接一个 RSAPublicKey，你可以简单地使用适当的 NimbusJwtDecoder builder，像这样。

  • Java
@Bean
public JwtDecoder jwtDecoder() {
    return NimbusJwtDecoder.withPublicKey(this.key).build();
}

九、信任单一对称密钥

使用单一的对称密钥也很简单。你可以简单地加载你的 SecretKey 并使用适当的 NimbusJwtDecoder builder，像这样。

  • Java
@Bean
public JwtDecoder jwtDecoder() {
    return NimbusJwtDecoder.withSecretKey(this.key).build();
}

十、配置 Authorization（授权）

从OAuth 2.0授权服务器发出的JWT通常会有一个 scope 或 scp 属性，表明它被授予的scope（或权限），例如：

{ …​, "scope" : "messages contacts"}

当出现这种情况时，资源服务器将尝试把这些scope强制性的成一个授予权限的列表，在每个scope前面加上 "SCOPE_" 字符串。

这意味着，要用从JWT派生的scope来保护一个端点或方法，相应的表达式应该包括这个前缀。

Authorization Configuration

  • Java
@Configuration
@EnableWebSecurity
public class DirectlyConfiguredJwkSetUri {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/contacts/**").hasAuthority("SCOPE_contacts")
                .requestMatchers("/messages/**").hasAuthority("SCOPE_messages")
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt);
        return http.build();
    }
}

或者类似于方法安全（method security）。

  • Java
@PreAuthorize("hasAuthority('SCOPE_messages')")
public List<Message> getMessages(...) {}

1、手动提取权限

然而，在很多情况下，这个默认值是不够的。例如，有些授权服务器并不使用 scope 属性，而是有自己的自定义属性。或者，在其他时候，资源服务器可能需要将属性或属性的构成调整为内部化的授权。

为此，Spring Security提供了 JwtAuthenticationConverter，它负责 将 Jwt 转换为 Authentication。默认情况下，Spring Security会将 JwtAuthenticationProvider 与 JwtAuthenticationConverter 的默认实例连接起来。

作为配置 JwtAuthenticationConverter 的一部分，你可以提供一个附属的转换器，从 Jwt 到授予权限集合（Collection）。

假设你的授权服务器在一个名为 authorities 的自定义 claim 中交流授权。在这种情况下，你可以配置 JwtAuthenticationConverter 应该检查的 claim，像这样。

Authorities Claim Configuration

  • Java
@Bean
public JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtGrantedAuthoritiesConverter grantedAuthoritiesConverter = new JwtGrantedAuthoritiesConverter();
    grantedAuthoritiesConverter.setAuthoritiesClaimName("authorities");

    JwtAuthenticationConverter jwtAuthenticationConverter = new JwtAuthenticationConverter();
    jwtAuthenticationConverter.setJwtGrantedAuthoritiesConverter(grantedAuthoritiesConverter);
    return jwtAuthenticationConverter;
}

你也可以把权限的前缀配置成不同的。你可以像这样把每个权限的前缀改为 ROLE_，而不是用 SCOPE_。

Authorities Prefix Configuration

  • Java
@Bean
public JwtAuthenticationConverter jwtAuthenticationConverter() {
    JwtGrantedAuthoritiesConverter grantedAuthoritiesConverter = new JwtGrantedAuthoritiesConverter();
    grantedAuthoritiesConverter.setAuthorityPrefix("ROLE_");

    JwtAuthenticationConverter jwtAuthenticationConverter = new JwtAuthenticationConverter();
    jwtAuthenticationConverter.setJwtGrantedAuthoritiesConverter(grantedAuthoritiesConverter);
    return jwtAuthenticationConverter;
}

或者，你可以通过调用 JwtGrantedAuthoritiesConverter#setAuthorityPrefix("") 完全删除前缀。

为了提高灵活性，DSL支持用任何实现 Converter<Jwt, AbstractAuthenticationToken> 的类来完全替换converter。

  • Java
static class CustomAuthenticationConverter implements Converter<Jwt, AbstractAuthenticationToken> {
    public AbstractAuthenticationToken convert(Jwt jwt) {
        return new CustomAuthenticationToken(jwt);
    }
}

// ...

@Configuration
@EnableWebSecurity
public class CustomAuthenticationConverterConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .jwtAuthenticationConverter(new CustomAuthenticationConverter())
                )
            );
        return http.build();
    }
}

十一、配置验证

使用 最小的Spring Boot配置，表明授权服务器的发行者URI，资源服务器将默认验证 iss claim 以及 exp 和 nbf 时间戳 claim。

在需要定制验证的情况下，资源服务器会提供两个标准的验证器，同时也接受自定义的 OAuth2TokenValidator 实例。

1、自定义时间戳验证

JWT通常有一个有效期，开始时间在 nbf claim 中指出，结束时间在 exp 声明中指出。

然而，每台服务器都可能经历时钟漂移，这可能导致令牌在一台服务器上显示为过期，而在另一台服务器上却不是。随着分布式系统中合作服务器数量的增加，这可能会造成一些实施上的困扰。

资源服务器使用 JwtTimestampValidator 来验证令牌的有效性，它可以配置一个 clockSkew 来缓解上述问题。

  • Java
@Bean
JwtDecoder jwtDecoder() {
     NimbusJwtDecoder jwtDecoder = (NimbusJwtDecoder)
             JwtDecoders.fromIssuerLocation(issuerUri);

     OAuth2TokenValidator<Jwt> withClockSkew = new DelegatingOAuth2TokenValidator<>(
            new JwtTimestampValidator(Duration.ofSeconds(60)),
            new JwtIssuerValidator(issuerUri));

     jwtDecoder.setJwtValidator(withClockSkew);

     return jwtDecoder;
}

默认情况下，资源服务器配置的时钟偏移为60秒。

2、配置自定义验证器（Validator）

使用 OAuth2TokenValidator API，添加 aud claim 的检查很简单。

  • Java
  • Kotlin
OAuth2TokenValidator<Jwt> audienceValidator() {
    return new JwtClaimValidator<List<String>>(AUD, aud -> aud.contains("messaging"));
}

或者，为了更多的控制，你可以实现你自己的 OAuth2TokenValidator。

  • Java
static class AudienceValidator implements OAuth2TokenValidator<Jwt> {
    OAuth2Error error = new OAuth2Error("custom_code", "Custom error message", null);

    @Override
    public OAuth2TokenValidatorResult validate(Jwt jwt) {
        if (jwt.getAudience().contains("messaging")) {
            return OAuth2TokenValidatorResult.success();
        } else {
            return OAuth2TokenValidatorResult.failure(error);
        }
    }
}

// ...

OAuth2TokenValidator<Jwt> audienceValidator() {
    return new AudienceValidator();
}

然后，为了添加到资源服务器中，只需指定 JwtDecoder 实例即可。

  • Java
@Bean
JwtDecoder jwtDecoder() {
    NimbusJwtDecoder jwtDecoder = (NimbusJwtDecoder)
        JwtDecoders.fromIssuerLocation(issuerUri);

    OAuth2TokenValidator<Jwt> audienceValidator = audienceValidator();
    OAuth2TokenValidator<Jwt> withIssuer = JwtValidators.createDefaultWithIssuer(issuerUri);
    OAuth2TokenValidator<Jwt> withAudience = new DelegatingOAuth2TokenValidator<>(withIssuer, audienceValidator);

    jwtDecoder.setJwtValidator(withAudience);

    return jwtDecoder;
}

如前所述，你可以在 Boot 中 配置 aud 验证。

十二、配置 Claim 集映射

Spring Security使用 Nimbus 库来解析JWT并验证其签名。因此，Spring Security受制于Nimbus对每个字段值的解释，以及如何将每个字段强制成一个Java类型。

例如，由于Nimbus仍然与Java 7兼容，它不使用 Instant 来表示时间戳字段。

而且，完全可以使用不同的库或用于JWT处理，它可能会做出自己的强制决定，需要进行调整。

或者，很简单，资源服务器可能想出于特定领域的原因从JWT中添加或删除claim。

为了这些目的，资源服务器支持用 MappedJwtClaimSetConverter 映射JWT请求集。

1、定制单一 Claim 的转换

默认情况下，MappedJwtClaimSetConverter 将试图将 claim 强制为以下类型。

Claim

Java 类型

aud

Collection<String>

exp

Instant

iat

Instant

iss

String

jti

String

nbf

Instant

sub

String

可以使用 MappedJwtClaimSetConverter.withDefaults 来配置单个 claim 的转换策略。

  • Java
@Bean
JwtDecoder jwtDecoder() {
    NimbusJwtDecoder jwtDecoder = NimbusJwtDecoder.withIssuerLocation(issuer).build();

    MappedJwtClaimSetConverter converter = MappedJwtClaimSetConverter
            .withDefaults(Collections.singletonMap("sub", this::lookupUserIdBySub));
    jwtDecoder.setClaimSetConverter(converter);

    return jwtDecoder;
}

这将保持所有的默认值，除了它将覆盖 sub 的默认 claim converter。

2、添加 Claim

MappedJwtClaimSetConverter 也可以用来添加一个自定义的 claim，例如，为了适应现有的系统。

  • Java
MappedJwtClaimSetConverter.withDefaults(Collections.singletonMap("custom", custom -> "value"));

3、删除 Claim

删除claim也很简单，使用相同的API。

  • Java
MappedJwtClaimSetConverter.withDefaults(Collections.singletonMap("legacyclaim", legacy -> null));

4、重命名 Claim

在更复杂的情况下，如同时咨询多个claim或重命名一个claim，资源服务器接受任何实现 Converter<Map<String, Object>, Map<String,Object>> 的类。

  • Java
public class UsernameSubClaimAdapter implements Converter<Map<String, Object>, Map<String, Object>> {
    private final MappedJwtClaimSetConverter delegate =
            MappedJwtClaimSetConverter.withDefaults(Collections.emptyMap());

    public Map<String, Object> convert(Map<String, Object> claims) {
        Map<String, Object> convertedClaims = this.delegate.convert(claims);

        String username = (String) convertedClaims.get("user_name");
        convertedClaims.put("sub", username);

        return convertedClaims;
    }
}

然后，可以像正常一样提供实例。

  • Java
@Bean
JwtDecoder jwtDecoder() {
    NimbusJwtDecoder jwtDecoder = NimbusJwtDecoder.withIssuerLocation(issuer).build();
    jwtDecoder.setClaimSetConverter(new UsernameSubClaimAdapter());
    return jwtDecoder;
}

5、配置超时

默认情况下，资源服务器使用连接和套接字超时30秒来与授权服务器进行协调。

这在某些情况下可能太短了。此外，它没有考虑到更复杂的模式，如退订和发现。

为了调整资源服务器连接到授权服务器的方式，NimbusJwtDecoder 接受了一个 RestOperations 的实例。

  • Java
@Bean
public JwtDecoder jwtDecoder(RestTemplateBuilder builder) {
    RestOperations rest = builder
            .setConnectTimeout(Duration.ofSeconds(60))
            .setReadTimeout(Duration.ofSeconds(60))
            .build();

    NimbusJwtDecoder jwtDecoder = NimbusJwtDecoder.withIssuerLocation(issuer).restOperations(rest).build();
    return jwtDecoder;
}

另外，默认情况下，资源服务器会在内存中缓存授权服务器的JWK集5分钟，你可能想调整一下。此外，它没有考虑到更复杂的缓存模式，如驱逐或使用共享缓存。

为了调整资源服务器缓存JWK集的方式，NimbusJwtDecoder 接受一个 Cache 的实例。

  • Java
@Bean
public JwtDecoder jwtDecoder(CacheManager cacheManager) {
    return NimbusJwtDecoder.withIssuerLocation(issuer)
            .cache(cacheManager.getCache("jwks"))
            .build();
}

当给定一个 Cache 时，资源服务器将使用JWK Set Uri作为键，JWK Set JSON作为值。

Spring不是一个缓存提供者，所以你需要确保包含适当的依赖关系，比如 spring-boot-starter-cache 和你喜欢的缓存提供者。

无论是套接字还是缓存超时，你可能反而想直接与Nimbus合作。要做到这一点，请记住 NimbusJwtDecoder 有一个构造函数，它接收 Nimbus 的 JWTProcessor。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1171589.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Linux编译器gcc/g++介绍

Linux编译器gcc/g++介绍

gcc/g编译器介绍 编译器的功能就是把代码经过一系列处理变成可执行文件&#xff0c;然后就可以执行文件实现代码的功能。 gcc编译器编译C语言文件&#xff0c;g编译C文件&#xff0c;g也可以编译C语言&#xff0c;但gcc不能编译C文件。 gcc使用方法&#xff1a;gcc [选项] 要编…
阅读更多...
【漏洞复现】fastjson_1.2.24_unserializer_rce

【漏洞复现】fastjson_1.2.24_unserializer_rce

感谢互联网提供分享知识与智慧&#xff0c;在法治的社会里&#xff0c;请遵守有关法律法规 文章目录 1.1、漏洞描述1.2、漏洞等级1.3、影响版本1.4、漏洞复现1、基础环境2、漏洞检测3、漏洞验证 1.5、深度利用1、GetShell 说明内容漏洞编号漏洞名称fastjson 1.2.24 反序列化导致…
阅读更多...
vbox虚拟机导出减少体积：压缩VDI文件

vbox虚拟机导出减少体积：压缩VDI文件

前言部分&#xff1a; 网上找了一些virtualBox虚拟机压缩方法&#xff0c;做了测试。虚拟机导出体积有了明显减少。 参考文档&#xff1a;https://blog.csdn.net/mr__bai/article/details/129147223 里面有一些注意事项&#xff0c;包括我在实践时遇到的一些问题&#xff0c;在…
阅读更多...
Redis7.x 高级篇

Redis7.x 高级篇

Redis7.x 高级篇 Redis版本发行时间Redis单线程说的是什么东西 Redis版本发行时间 Redis单线程说的是什么东西
阅读更多...
微信小程序获取剪切板的内容到输入框中

微信小程序获取剪切板的内容到输入框中

xml代码 <navigation-bar title"Weixin" back"{{false}}" color"black" background"#FFF"></navigation-bar> <view><input placeholder"请输入内容" name"content" type"text" …
阅读更多...
FreeRTOS-定时器\二值信号互斥信号\事件组

FreeRTOS-定时器\二值信号互斥信号\事件组

FreeRTOS整体知识框架可以参考下文: FreeRTOS整体知识框架 一. FreeRTOS定时器 FreeRTOS定时器 博文路径 FreeRTOS提供了一种软件定时器&#xff0c;用来快速实现一些周期性的操作&#xff0c;并且节约了硬件定时器。不过尽量还是不要做过多的操作&#xff0c;以免影响其他…
阅读更多...
文件夹重命名与大小写转换：提高文件检索准确性的技巧

文件夹重命名与大小写转换：提高文件检索准确性的技巧

在文件管理中&#xff0c;文件夹的命名和大小写转换是非常重要的操作。正确的文件夹命名和大小写转换可以提高文件检索的准确性&#xff0c;从而提高工作效率和文件管理的便利性。现在来看云炫文件管理器如何进行文件夹重命名和大小写转换的技巧&#xff0c;以帮助您更好地管理…
阅读更多...
python 成绩统计，输出及格率和优

python 成绩统计，输出及格率和优

题目描述&#xff1a; 小蓝给学生们组织了一场考试&#xff0c;卷面总分为100分&#xff0c;每个学生的得分都是一个0到100的整数。 如果得分至少是60分&#xff0c;则称为及格。如果得分至少为85分&#xff0c;则称为优秀。 请计算及格率和优秀率&#xff0c;用百分数表示&am…
阅读更多...
C++入门讲解第一篇

C++入门讲解第一篇

大家好&#xff0c;我是Dark Fire&#xff0c;终于进入了C的学习&#xff0c;我知道面对我的将是什么&#xff0c;就算变成秃头佬&#xff0c;也要把C学好&#xff0c;今天是C入门第一篇&#xff0c;我会尽全力将知识以清晰易懂的方式表达出&#xff0c;希望我们一起加油&#…
阅读更多...
电脑出现emp.dll文件缺失的错误提示怎么办，教你一键解决dll丢失问题

电脑出现emp.dll文件缺失的错误提示怎么办，教你一键解决dll丢失问题

今天&#xff0c;我想和大家分享一下关于emp.dll文件丢失的4个解决方法&#xff0c;希望能对大家有所帮助。 首先&#xff0c;我们要明确emp.dll文件的作用。emp.dll是一个动态链接库文件&#xff0c;这个文件对于许多程序的正常运行至关重要&#xff0c;一旦丢失&#xff0c;…
阅读更多...
在树莓派上使用Nginx搭建本地站点并通过内网穿透实现远程访问

在树莓派上使用Nginx搭建本地站点并通过内网穿透实现远程访问

目录 前言 1. Nginx安装 2. 安装cpolar 3.配置域名访问Nginx 4. 固定域名访问 5. 配置静态站点 前言 安装 Nginx&#xff08;发音为“engine-x”&#xff09;可以将您的树莓派变成一个强大的 Web 服务器&#xff0c;可以用于托管网站或 Web 应用程序。相比其他 Web 服务…
阅读更多...
代码随想录算法训练营第23期day41|01背包问题、01背包问题——滚动数组、416. 分割等和子集

代码随想录算法训练营第23期day41|01背包问题、01背包问题——滚动数组、416. 分割等和子集

目录 一、01背包理论基础 1.二维dp数组01背包 1&#xff09;确定dp数组以及下标的含义 2&#xff09;确定递推公式 3&#xff09;dp数组如何初始化 4&#xff09;确定遍历顺序 5&#xff09;举例推导dp数组 2.一维dp数组&#xff08;滚动数组&#xff09; 1&#xf…
阅读更多...
CSS必学：元素之间的空白与行内块的幽灵空白问题

CSS必学：元素之间的空白与行内块的幽灵空白问题

作者:WangMin 格言:努力做好自己喜欢的每一件事 CSDN原创文章 博客地址 &#x1f449; WangMin 我们在开发的过程中&#xff0c;难免会出现一些难以预料的问题。那么其中&#xff0c;CSS空白现象就是非常常见的问题之一。虽然它已经被发现很久&#xff0c;但仍然有许多新手和经…
阅读更多...
Redis中的List类型

Redis中的List类型

目录 List类型的命令 lpush lpushx rpush lrange lpop rpop lindex linsert llen lrem ltrim lset 阻塞命令 阻塞命令的使用场景 1.针对一个非空的列表进行操作 2.针对一个空的列表进行操作 3.针对多个key进行操作. 内部编码 lisi类型的应用场景 存储(班级…
阅读更多...
halcon常见算子的使用

halcon常见算子的使用

阅读更多...
智慧工厂人员定位系统及uwb定位技术在现代工厂安全管理中的应用【uwb定位系统源码】

智慧工厂人员定位系统及uwb定位技术在现代工厂安全管理中的应用【uwb定位系统源码】

uwb定位系统源码 智慧工厂人员定位系统源码 定位系统源码 随着经济的高速发展&#xff0c;现代制造业规模不断扩大&#xff0c;生产车间面积广阔&#xff0c;生产设备日益繁多&#xff0c;生产工人数量多且分散作业&#xff0c;难以进行有效管理和实施全方位风险管控。现代工厂…
阅读更多...
C++查漏补缺与新标准（C++20,C++17,C++11）01 C++快速回顾（一）

C++查漏补缺与新标准（C++20,C++17,C++11）01 C++快速回顾（一）

本内容参考C20高级编程 模块导入 C 20提供了对于模块的支持&#xff0c;用来代替之前的头文件机制 //Helloworld.cpp import <iostream>int main(){std::cout<<"Hello World!"<<std::end;return 0; }如果在你的编译器中尚未支持模块&#xff0c…
阅读更多...
大数据之陌陌聊天数据分析案例

大数据之陌陌聊天数据分析案例

目录 目标需求 数据内容 基于Hive数仓实现需求开发 1.建库建表、加载数据 2.ETL数据清洗 3需求指标统计 目标需求 基于Hadoop和hive实现聊天数据统计分析&#xff0c;构建聊天数据分析报表 1.统计今日总消息量 2.统计今日每小时消息量&#xff0c;发送和接收用户数 3.…
阅读更多...
分隔节点（C++解法）

分隔节点（C++解法）

题目 给你一个链表的头节点 head 和一个特定值 x &#xff0c;请你对链表进行分隔&#xff0c;使得所有 小于 x 的节点都出现在 大于或等于 x 的节点之前。 你应当 保留 两个分区中每个节点的初始相对位置。 示例 1&#xff1a; 输入&#xff1a;head [1,4,3,2,5,2], x 3 输…
阅读更多...
JavaScript 自定义对象

JavaScript 自定义对象

<!DOCTYPE html> <html lang"en"><head><meta charset"UTF-8"><meta name"viewport" content"widthdevice-width, initial-scale1.0"><title>JS-定义对象</title> </head><body&g…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023