负载均衡器后面的 Spring OAuth2 SSO

Question

我有一个非常简单的带有社交单点登录功能的 Spring Boot 应用程序。

看起来像这样：

@Configuration
@EnableOAuth2Sso
class Application {
  // beans
}

并且它在application.yml 中有必填项：

security:
  oauth2:
    client:
      # clientId: ...
      # clientSecret: ...
      accessTokenUri: https://www.googleapis.com/oauth2/v3/token
      userAuthorizationUri: https://accounts.google.com/o/oauth2/auth
      tokenName: oauth_token
      authenticationScheme: query
      clientAuthenticationScheme: form
      scope: email
    resource:
      userInfoUri: https://www.googleapis.com/userinfo/v2/me
      preferTokenInfo: false

它在我的本地机器上运行良好，并且只启动了一个实例。

当有多个实例隐藏在负载均衡器后面时，就会出现问题。

即使用户在第一个请求中进行了身份验证，对负载均衡器的后续请求也会因 401 而被阻止。

与第一个相比，请求被路由到不同的应用实例。

---

我试图弄清楚，如何使用 JWT 或 JDBC 使其无状态，以便它可以跨多个实例工作。不幸的是，我没有在网上找到任何可行的示例。

其中一些需要启动授权服务器。但这不是我的情况，因为我想将授权完全转发给第三方提供商（例如 Google）。

在这种情况下我应该怎么做才能使授权跨多个实例工作？

Answer 1

Spring 仅将会话的 ID 存储在 cookie 中，但数据位于网络服务器（tomcat？）上的某个位置，并通过该 ID 获取。当您的请求命中其他 tomcat 实例时，它只是无法将 id 连接到数据。您可以做的是查看使用 redis 而不是特定实例文件系统的 spring session 项目。

其他方式 - 我不推荐但可能适合您的解决方案 - 是在 LB 上使用粘性会话。 LB 会小心地将用户请求一遍又一遍地传递给同一台服务器。当然，这不是安全的解决方案，因为当网络服务器死机时，您的用户将失去会话/从应用程序注销。