| 本站(springdoc.cn)中的内容来源于 spring.io ，原始版权归属于 spring.io。由 springboot.io - Spring Boot中文社区 进行翻译，整理。可供个人学习、研究，未经许可，不得进行任何转载、商用或与之相关的行为。 商标声明：Spring 是 Pivotal Software, Inc. 在美国以及其他国家的商标。 |
本指南展示了如何定制 Spring Authorization Server 的 UserInfo 端点。
本指南的目的是演示如何启用该端点并使用可用的自定义选项来产生自定义响应。
启用 User Info 端点
OpenID Connect 1.0 UserInfo 端点 是一个受OAuth2保护的资源，它需要一个 access token 作为 bearer token 在 UserInfo请求 中发送。
根据 OAuth 2.0 Bearer Token Usage [RFC6750] 的第 2 节，从 OpenID Connect 认证请求中获得的 Access Token 必须作为 Bearer Token 牌发送。
在定制响应之前，你需要启用UserInfo端点。下面列出了如何启用 OAuth2 资源服务器配置。
@Configuration(proxyBeanMethods = false)
public class EnableUserInfoSecurityConfig {
@Bean (1)
@Order(1)
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
http.getConfigurer(OAuth2AuthorizationServerConfigurer.class)
.oidc(Customizer.withDefaults()); // Enable OpenID Connect 1.0
http
.oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt) (2)
.exceptionHandling((exceptions) -> exceptions
.authenticationEntryPoint(new LoginUrlAuthenticationEntryPoint("/login"))
);
return http.build();
}
@Bean (3)
public JwtDecoder jwtDecoder(JWKSource<SecurityContext> jwkSource) {
return OAuth2AuthorizationServerConfiguration.jwtDecoder(jwkSource);
}
}
| 点击上面代码示例中的 "Expanded folded text" 图标以显示完整的例子。 |
这种配置提供了以下内容。
| 1 | 一个用于 协议端点 的 Spring Security filter 链。 |
| 2 | 资源服务器支持，允许 User Info 请求用 access token 进行验证。 |
| 3 | JwtDecoder 的一个实例，用于验证 access token。 |
自定义 User Info 响应
下面几节描述了定制用户信息响应的一些选项。
自定义 ID Token
默认情况下，用户信息响应是通过使用与 token 响应 一起返回的 id_token 的 claim 来生成的。使用默认策略， 标准 claim 只与用户信息响应一起返回，基于授权时 请求的 scope。
定制用户信息响应的首选方法是向 id_token 添加标准的 claim。下列显示了如何向 id_token 添加 claim。
@Configuration
public class IdTokenCustomizerConfig {
@Bean (1)
public OAuth2TokenCustomizer<JwtEncodingContext> tokenCustomizer(
OidcUserInfoService userInfoService) {
return (context) -> {
if (OidcParameterNames.ID_TOKEN.equals(context.getTokenType().getValue())) {
OidcUserInfo userInfo = userInfoService.loadUser( (2)
context.getPrincipal().getName());
context.getClaims().claims(claims ->
claims.putAll(userInfo.getClaims()));
}
};
}
}
该配置提供了以下内容。
| 1 | OAuth2TokenCustomizer 的一个实例，用于定制 id_token。 |
| 2 | 一个用于以特domain的方式获取用户信息的自定义服务。 |
下列显示了一个自定义服务，用于以特定domain的方式查询用户信息。
/**
* Example service to perform lookup of user info for customizing an {@code id_token}.
*/
@Service
public class OidcUserInfoService {
private final UserInfoRepository userInfoRepository = new UserInfoRepository();
public OidcUserInfo loadUser(String username) {
return new OidcUserInfo(this.userInfoRepository.findByUsername(username));
}
static class UserInfoRepository {
private final Map<String, Map<String, Object>> userInfo = new HashMap<>();
public UserInfoRepository() {
this.userInfo.put("user1", createUser("user1"));
this.userInfo.put("user2", createUser("user2"));
}
public Map<String, Object> findByUsername(String username) {
return this.userInfo.get(username);
}
private static Map<String, Object> createUser(String username) {
return OidcUserInfo.builder()
.subject(username)
.name("First Last")
.givenName("First")
.familyName("Last")
.middleName("Middle")
.nickname("User")
.preferredUsername(username)
.profile("https://example.com/" + username)
.picture("https://example.com/" + username + ".jpg")
.website("https://example.com")
.email(username + "@example.com")
.emailVerified(true)
.gender("female")
.birthdate("1970-01-01")
.zoneinfo("Europe/Paris")
.locale("en-US")
.phoneNumber("+1 (604) 555-1234;ext=5678")
.phoneNumberVerified(false)
.claim("address", Collections.singletonMap("formatted", "Champ de Mars\n5 Av. Anatole France\n75007 Paris\nFrance"))
.updatedAt("1970-01-01T00:00:00Z")
.build()
.getClaims();
}
}
}
自定义 User Info Mapper
为了完全定制 user info 响应，你可以提供一个能够生成用于渲染响应的对象的自定义 user info mapper，它是Spring Security的 OidcUserInfo 类的一个实例。mapper实现接收一个 OidcUserInfoAuthenticationContext 的实例，其中包含当前请求的信息，包括 OAuth2Authorization。
下面的列表显示了如何在直接使用 OAuth2AuthorizationServerConfigurer 的时候使用自定义选项。
@Configuration(proxyBeanMethods = false)
public class JwtUserInfoMapperSecurityConfig {
@Bean (1)
@Order(1)
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
OAuth2AuthorizationServerConfigurer authorizationServerConfigurer =
new OAuth2AuthorizationServerConfigurer();
RequestMatcher endpointsMatcher = authorizationServerConfigurer
.getEndpointsMatcher();
Function<OidcUserInfoAuthenticationContext, OidcUserInfo> userInfoMapper = (context) -> { (2)
OidcUserInfoAuthenticationToken authentication = context.getAuthentication();
JwtAuthenticationToken principal = (JwtAuthenticationToken) authentication.getPrincipal();
return new OidcUserInfo(principal.getToken().getClaims());
};
authorizationServerConfigurer
.oidc((oidc) -> oidc
.userInfoEndpoint((userInfo) -> userInfo
.userInfoMapper(userInfoMapper) (3)
)
);
http
.securityMatcher(endpointsMatcher)
.authorizeHttpRequests((authorize) -> authorize
.anyRequest().authenticated()
)
.csrf(csrf -> csrf.ignoringRequestMatchers(endpointsMatcher))
.oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt) (4)
.exceptionHandling((exceptions) -> exceptions
.authenticationEntryPoint(new LoginUrlAuthenticationEntryPoint("/login"))
)
.apply(authorizationServerConfigurer); (5)
return http.build();
}
}
该配置将 access token（使用 入门配置 时为JWT）的 claim 映射到 user info 响应中，并提供以下内容。
| 1 | 一个用于 协议端点 的 Security filter 链。 |
| 2 | 一个user info mapper，以特定 domain 的方式映射claim。 |
| 3 | 一个显示定制 user info mapper 的配置选项的例子。 |
| 4 | 资源服务器支持，允许 User Info 请求用 access token 进行验证。 |
| 5 | 一个显示如何将 OAuth2AuthorizationServerConfigurer 应用于 Spring Security 配置的例子。 |
user info mapper 并不局限于映射来自JWT的请求，但这是一个简单的例子，展示了自定义选项。与 前面显示的例子 类似，我们在该例子中自定义了ID token 的 claim，你可以提前定制 access token 本身的claim，如下面的例子。
@Configuration
public class JwtTokenCustomizerConfig {
@Bean
public OAuth2TokenCustomizer<JwtEncodingContext> tokenCustomizer() {
return (context) -> {
if (OAuth2TokenType.ACCESS_TOKEN.equals(context.getTokenType())) {
context.getClaims().claims((claims) -> {
claims.put("claim-1", "value-1");
claims.put("claim-2", "value-2");
});
}
};
}
}
无论你是直接定制 user info 响应，还是使用这个例子并自定义 access token，你都可以在数据库中查找信息，执行LDAP查询，调用其他服务，或者使用任何其他手段来获得你希望在 user info 响应中呈现的信息。