Cách nào đúng để tách Máy chủ tài nguyên và Máy chủ ủy quyền?

Question

Sử dụng spring-security-oauth2 để bảo vệ tài nguyên của tôi khỏi điểm cuối SSO có thể hoạt động như một máy chủ ủy quyền. Tôi hơi bối rối khi tài liệu nêu rõ:

Vai trò của nhà cung cấp trong OAuth 2.0 thực sự được phân chia giữa Dịch vụ ủy quyền và Dịch vụ tài nguyên và đôi khi trong cùng một ứng dụng, với OAuth bảo mật mùa xuân, bạn có tùy chọn chia chúng trên hai ứng dụng và cũng có nhiều Dịch vụ tài nguyên dùng chung Dịch vụ cấp phép.

Nhưng tôi không nghĩ rằng tôi đã tìm thấy một ví dụ về điều này xảy ra. Trong sparklr/tonr máy chủ ủy quyền và máy chủ tài nguyên nằm trong cùng một ứng dụng. Ví dụ duy nhất tôi thấy từ tìm kiếm là this spring-servlet.xml, yêu cầu this triển khai tùy chỉnh ResourceServerTokenServices để hoạt động.

Tôi muốn tránh viết thực hiện tùy chỉnh ResourceServerTokenServices nếu có thể. Có cách nào khác để hỗ trợ máy chủ ủy quyền bên ngoài trong máy chủ tài nguyên không? Nội dung nào đó dọc theo dòng:

<bean class="com.example.ExternalAuthorizationServerTokenServices" 
    p:remote-url="https://my-oauth-compatible-sso.com" 
    p:token-endpoint="/oauth/access_token" 
    p:authorize-endpoint="/oauth/authorize" /> 

Điều này có thể?

* CHỈNH SỬA: Tôi sẽ thêm nó như một giải pháp thay thế (hoặc có thể đây là giải pháp dự định) Tôi đang sử dụng một cửa hàng mã thông báo jdbc và dựa vào thực tế là cả hai máy chủ đều có quyền truy cập vào cơ sở dữ liệu đó.

Answer 1

Bạn có thể tách tài nguyên mở và tài nguyên được bảo vệ trong spring-security.xml

Mẫu/api/** sẽ được bảo vệ và các tài nguyên khác sẽ được mở.

<!-- Protected resources --> 
    <http pattern="/api/**" create-session="never" use-expressions="true" 
     entry-point-ref="oauthAuthenticationEntryPoint" 
     access-decision-manager-ref="accessDecisionManager" 
     xmlns="http://www.springframework.org/schema/security"> 
     <anonymous enabled="false" /> 
     <intercept-url pattern="/api/**" 
      access="hasAnyRole('ROLE_USER','ROLE_ADMIN')" /> 
     <custom-filter ref="resourceServerFilter" before="PRE_AUTH_FILTER" /> 
     <!-- <access-denied-handler ref="oauthAccessDeniedHandler"/> --> 
     <access-denied-handler ref="oauthAccessDeniedHandler" /> 
    </http> 

Answer 2

cho ai đó mà có thể quan tâm đó cũng là một ví dụ khác để tách các máy chủ xác thực và tài nguyên máy chủ tìm thấy ở đây: https://github.com/sharmaritesh/spring-angularjs-oauth2-sample