访问应用程序特定 URL 时 Spring 安全 oauth 出现 403 错误（access_token 有效且 csrf 被禁用）

Question

更新

(Chids 的回答是针对我之前 posted 的问题，该问题在 /oauth/token 时出现 403 错误。该错误已解决并卡在下一步.我已经相应地修改了问题。)

问题：

我正在尝试实施具有 Spring 安全性的 OAuth 2.0。通过向 /oauth/token 发出 post 请求，我成功获得了 access_token。但是当我使用这个访问令牌来使用任何其他安全的 url 我得到 403.

我已经关注了多个关于 SO 的问题，但所有问题都建议针对我的问题禁用 csrf。问题是我已经禁用它但仍然出现错误。

有人可以指导我是否以错误的方式构建 post 请求，或者是否缺少某些配置。

我的 post 通过 post 人的请求看起来像：

配置 google:

资源服务器

@Configuration
@EnableResourceServer
@Order(3)
public class Oauth2ResourceServerConfig extends ResourceServerConfigurerAdapter {     

    @Override
    public void configure(HttpSecurity http) throws Exception {     
        http.csrf().disable();

            http.requestMatchers().antMatchers("/auth/**")
            .and()
            .authorizeRequests()                    
            .antMatchers("/auth/**").authenticated();   

    }
}

授权服务器

@Configuration
@EnableAuthorizationServer  
public class Oauth2AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private TokenStore tokenStore;

    @Autowired
    private UserApprovalHandler handler;

    @Autowired
    @Qualifier("authenticationManagerBean")
    private AuthenticationManager authManager;



    @Override
    public void configure(final ClientDetailsServiceConfigurer clients) throws Exception {      

        clients.inMemory()
            .withClient("568176070083-1lc20949a0q58l0rhmq93n95kvu8s5o6.apps.googleusercontent.com")
            .secret("lNfK3wOaVibgu96il6WLrkTh")         
            .authorizedGrantTypes("password", "authorization_code", "refresh_token", "implicit")
            .authorities("ROLE_CLIENT", "ROLE_TRUSTED_CLIENT")
            .scopes("read", "write", "trust")
            .accessTokenValiditySeconds(120)
            .refreshTokenValiditySeconds(600);              

    }   


    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.tokenStore(tokenStore).userApprovalHandler(handler)
                .authenticationManager(authManager);
    }       

}

安全配置

@EnableWebSecurity
@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true)
@ComponentScan(basePackages = "com.saml.demo")
public class SecurityConfig extends WebSecurityConfigurerAdapter {    

    @Autowired
    public void globalUserDetails(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
        .withUser("user").password("password").roles("USER")
        .and()
        .withUser("admin").password("admin123").roles("ADMIN");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
    http
    .csrf().disable()
    .anonymous().disable()
    .authorizeRequests()
    .antMatchers("/oauth/token").permitAll()
    .anyRequest().authenticated();
    }

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }


    @Bean
    public TokenStore tokenStore() {
        return new InMemoryTokenStore();
    }

    @Bean
    @Autowired
    public ApprovalStore approvalStore(TokenStore tokenStore) throws Exception {
        TokenApprovalStore store = new TokenApprovalStore();
        store.setTokenStore(tokenStore);
        return store;
    }
}

Answer 1

这应该是因为，您在配置块中禁用了所有匿名访问。可以改成下面的

@Override
    protected void configure(final HttpSecurity http) throws Exception {
        // @formatter:off
        http.authorizeRequests().antMatchers("/login").permitAll().antMatchers("/oauth/token/revokeById/**").permitAll()
                .antMatchers("/tokens/**").permitAll().anyRequest().authenticated().and().formLogin().permitAll().and()
                .csrf().disable();
        // @formatter:on
    }

访问应用程序特定 URL 时 Spring 安全 oauth 出现 403 错误（access_token 有效且 csrf 被禁用）

Getting 403 error in Spring security oauth while accessing application specific urls (access_token is valid and csrf is disabled)

java

spring-security

oauth-2.0

spring-boot

spring-security-oauth2