PrincipalExtractor 和 AuthoritiesExtractor 没有被调用答案

【问题标题】：PrincipalExtractor and AuthoritiesExtractor are not getting calledPrincipalExtractor 和 AuthoritiesExtractor 没有被调用
【发布时间】：2021-07-29 21:32:37
【问题描述】：

我有一个简单的 OAuth2 应用程序。我首先创建了一个扩展 WebSecurityConfigurerAdapter 并使用 @EnableOAuth2Sso 进行注释的 SecurityConfig。我还在控制器中创建了一个 API 来测试身份验证是否有效。 Principal 被注入到控制器中并给出正确的名称。

我现在尝试通过实现 AuthoritiesExtractor 并将其创建为 bean 来向主体添加一些权限。我也对 PrincipalExtractor 做了同样的事情来检查它是否正常工作。从浏览器发出任何请求时，它们都不会被调用。

编辑：这实际上只使用 OIDC 进行身份验证，因此我的客户端和资源在同一个应用程序上。

//这是我的安全配置类。

@Configuration
@EnableOAuth2Sso
public class SecurityConfig extends WebSecurityConfigurerAdapter {

@Override
public void configure(HttpSecurity http) throws Exception {
     http
     .antMatcher("/**")
     .authorizeRequests()
       .antMatchers("/login**","/error**")
       .permitAll()
     .anyRequest()
       .authenticated();
}

@Bean
public PrincipalExtractor principalExtractor() {
    return map -> {
        System.out.println("Principal extracted.");
        User user = new User();
        user.setUsername((String)map.get("username"));
        return user;
    };
}

@Bean
public AuthoritiesExtractor authoritiesExtractor() {
    return new PrismAuthoritiesExtractor();
}
}

// 这是我单独定义的 AuthoritiesExtractor 类，只是为了检查这样做是否有效。

public class PrismAuthoritiesExtractor implements AuthoritiesExtractor {

@Override
public List<GrantedAuthority> extractAuthorities(Map<String, Object> map) {
    return AuthorityUtils.commaSeparatedStringToAuthorityList("AUTH1,AUTH2");
}
}

【问题讨论】：

标签： spring-boot spring-security-oauth2

【解决方案1】：

我为此苦苦挣扎了一段时间。之所以没有调用我的AuthoritiesExtractor bean，是因为较新版本的 Spring 不使用 spring oauth2 自动配置，而AuthoritiesExtractor 是覆盖角色映射的 oauth2 自动配置方式。

在当前版本的 spring-security 中，您可以使用delegation-based strategy with OAuth2UserService。文档中的示例应该足以让您继续前进。我正在使用 Kotlin，所以我的示例可能不适合你。

还有GrantedAuthoritiesMapper应该更接近AuthoritiesExtractor方法。

【讨论】：