Spring Security 5.3 资源服务器多键

Question

我们有以下场景：

1. 多个“旧版”Spring Security Oauth2 身份验证服务器 (2.3.4) - 每个都配置了不同的 RSA 密钥，用于创建 JWT 令牌。
2. 单个较新的（SS 5.3.3、SB 2.3.1）资源服务器，我们要接受来自任一身份验证服务器的令牌。

问题是资源服务器仅配置了 1 个密钥（当前）-因此它只能接受来自 1 个身份验证服务器的令牌。
是否有任何可以想象的方法来支持我们的资源服务器中的多个密钥来解码来自不同身份验证服务器的 JWT？

我们基本上想这样做，但有多个键： https://docs.spring.io/spring-security/site/docs/current/reference/html5/#oauth2resourceserver-jwt-decoder-public-key

Spring Security 5.3 表明这可以通过“多租户”https://docs.spring.io/spring-security/site/docs/current/reference/html5/#webflux-oauth2resourceserver-multitenancy 实现

这是一个基本配置

    @Value("${security.oauth2.resourceserver.jwt.key-value}")
    RSAPublicKey key;


    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http

                // using new Spring Security SpE"{{LOCATOR_BASE_URL}}"L
                //https://docs.spring.io/spring-security/site/docs/current/reference/htmlsingle/#webflux-oauth2resourceserver-jwt-authorization
                .authorizeRequests(authorizeRequests ->
                                authorizeRequests

                                        .antMatchers("/shipments/**").hasAuthority("SCOPE_DOMPick")
                                                                               .anyRequest().authenticated()
                )

                .csrf().disable()

                // ****** this is the new DSL way in Spring Security 5.2 instead of Spring Security Oauth @EnableResourceServer ******
                .oauth2ResourceServer(oauth2ResourceServer ->
                        oauth2ResourceServer
                                .jwt(jwt ->
                                        jwt.decoder(jwtDecoder())
                                )
                );

    }

    // static key
    @Bean
    JwtDecoder jwtDecoder() {
        return NimbusJwtDecoder.withPublicKey(this.key).build();

Answer 1

是的，Spring Security 5.3 允许您使用多个 jwk-uri 密钥。请在此处阅读我的答案：

https://stackoverflow.com/a/61615389/12053054

如果您不能使用此版本的 SS，可以手动配置 spring security 以使用多个 jwk-uri 密钥。 （按照我提供的链接查看方法）。

Spring Security 文档的这一部分指定了如何使用 Spring Security 5.3 执行此操作： https://docs.spring.io/spring-security/site/docs/current/reference/html5/#oauth2resourceserver-multitenancy

JwtIssuerAuthenticationManagerResolver authenticationManagerResolver = new JwtIssuerAuthenticationManagerResolver
    ("https://idp.example.org/issuerOne", "https://idp.example.org/issuerTwo");

http
    .authorizeRequests(authorize -> authorize
        .anyRequest().authenticated()
    )
    .oauth2ResourceServer(oauth2 -> oauth2
        .authenticationManagerResolver(authenticationManagerResolver)
    );

请注意，颁发者 url 是从传入令牌解析的（JWT oauth2 令牌始终包含颁发者 url，其中可以找到 jwk 的 uri 以验证 JWT 令牌）。通过手动配置（我已发布的答案），您可以添加自定义行为，例如：您可以检查标头以获取解析哪个颁发者 URL 的信息，而不是直接从 JWT 查找应该使用哪个 ulr 来验证令牌（您已经在 spring 中指定了它们） app) 应与此请求一起用于验证 JWT 令牌。