【发布时间】：2020-10-13 14:45:13
【问题描述】：
我尝试实现以下内容：我想要一个具有一个或多个 Spring Cloud 网关的分布式环境，在这些网关后面是几个（部分）暴露在外部的微服务。对于用户身份验证，我想使用 OIDC（刚刚移至 Keycloak）。
我其实只是坚持使用spring security、webflux和boot的参考文档中的标准配置。
详细来说，我在网关里有：
private final ReactiveClientRegistrationRepository clientRegistrationRepository;
@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
http
.csrf().disable()
.authorizeExchange()
.pathMatchers("/login").permitAll()
.pathMatchers("/actuator/**").permitAll()
.anyExchange().authenticated()
.and()
.oauth2Login()
.and()
.logout(logout -> logout.logoutSuccessHandler(oidcLogoutSuccessHandler()));
return http.build();
}
private ServerLogoutSuccessHandler oidcLogoutSuccessHandler() {
OidcClientInitiatedServerLogoutSuccessHandler oidcLogoutSuccessHandler =
new OidcClientInitiatedServerLogoutSuccessHandler(clientRegistrationRepository);
oidcLogoutSuccessHandler.setPostLogoutRedirectUri(URI.create("https://<host>/login?logout"));
return oidcLogoutSuccessHandler;
}
与 application.yml（仅重要部分）：
spring:
cloud:
gateway:
default-filters:
- TokenRelay=
- RemoveRequestHeader=Cookie
discovery:
locator:
enabled: true
consul:
host: 127.0.0.1
port: 8500
loadbalancer:
ribbon:
enabled: false
security:
oauth2:
client:
provider:
keycloak:
issuer-uri: ${KEYCLOAK_ISSUER_URI}
registration:
keycloak:
client-id: ${KEYCLOAK_CLIENT_ID}
client-secret: ${KEYCLOAK_CLIENT_SECRET}
resourceserver:
jwt:
jwk-set-uri: ${KEYCLOAK_ISSUER_URI}/protocol/openid-connect/certs
server:
forward-headers-strategy: framework
为了概念证明，我有一个“环境测试应用程序”，控制器只是将声明作为 json 返回。配置如下：
@Bean
public SecurityWebFilterChain securityWebFilterChain(ServerHttpSecurity http) {
http
.authorizeExchange()
.pathMatchers("/actuator/**").permitAll()
.anyExchange().authenticated()
.and()
.oauth2ResourceServer()
.jwt(Customizer.withDefaults());
return http.build();
}
application.yml 只包含上面的 consul 和 security 部分。
基本上这是可行的。如果我尝试访问 environment-test-application，我会被重定向到 Keycloak，我必须输入我的凭据并被重定向回 environment-test-application 并查看声明。我可以通过“/logout”退出。
问题：keycloak 会话过期 5 分钟后，我收到 401 并且 chrome 显示“此页面无法正常工作”。即使我一直在重新加载（用户活动），也会发生这种情况。
据我了解，会议应该：
- 只要有活动就可以扩展（我认为这是刷新令牌的用途，并假设 Spring Security 自动处理此问题）
- 当用户处于非活动状态一段时间后过期。当用户再次处于活动状态时，他/她应该被重定向到登录，然后返回到原始资源。
- 点击“记住我”时，应在没有用户活动的情况下重新启动已过期的会话（我认为，这就是 Keycloak 的离线令牌的用途）。
我想这一切都可以通过添加一些简单的配置行来实现，我只是不知道是哪个。参考文档对我来说并不完全清楚，但我觉得默认情况下这一切都是这样处理的。然而，事实并非如此。
注意：我正在使用带有默认 Reactor Netty 的 spring 反应堆栈。因此，既不能使用spring security，也不能使用Keycloak提供的spring boot插件。另外，我不清楚它们如何与标准配置方案交互。
注意：在我用 okta 尝试所有这些之前（使用他们的启动器）。上面描述的问题神奇地似乎与 okta 一起工作。但是，我遇到了不同的问题，因此现在转向开源。
【问题讨论】：
标签： spring-boot spring-security keycloak spring-webflux spring-cloud-gateway