Spring Boot+Angular OAuth2授权码流开发部署技术问题咨询

背景概述 #

本人刚接触Spring Security与Angular，项目采用Spring Boot+Angular框架开发：

• 部署流程：通过Maven执行以下步骤
  • 执行ng build构建前端资源
  • 将构建好的资源复制到classpath:/static目录
  • 构建可运行Jar包
• 部署阶段：浏览器从Spring Boot应用获取Web资源，通过OAuth2授权码流对接IdM服务器完成登录，访问令牌存储在服务端，由Spring Security保护API
• 开发阶段：三个独立应用分别运行：Spring Boot应用、Angular应用、IdM服务器

问题1：由Angular应用实现OAuth2授权码流并从IdM服务器获取用户信息是否为合理方案？ #

这是完全合理且业内广泛采用的方案，核心原因包括：

• 职责分离：前端负责认证流程的交互逻辑，后端专注于API业务处理，避免不必要的耦合
• 用户体验更流畅：前端可直接处理登录跳转、授权页面展示等操作，无需依赖后端重定向，交互更自然
• 框架支持成熟：Angular有成熟的OAuth2库（如angular-oauth2-oidc），能快速实现标准的授权码流，减少自定义开发工作量
• 适配SPA特性：单页应用的访问令牌通常存储在前端（内存或安全存储），由前端直接附加到API请求头，符合SPA的运行模式

问题2：开发阶段Angular应用如何调用Spring Boot应用提供的安全API？Spring Boot需做哪些配置？ #

Angular端实现步骤 #

1. 引入OAuth2客户端库（如angular-oauth2-oidc），配置IdM服务器的授权端点、令牌端点、客户端ID等核心参数
2. 通过库的API触发授权码流，完成登录并获取访问令牌
3. 在发送API请求时，自动在请求头中添加Authorization: Bearer <access_token>，将令牌传递给Spring Boot后端

Spring Boot端关键配置 #

1. CORS配置：由于开发阶段Angular和Spring Boot运行在不同端口，需配置跨域资源共享，允许来自Angular开发服务器（如http://localhost:4200）的请求。可通过全局配置类实现：

@Configuration
public class CorsConfig {
    @Bean
    public CorsFilter corsFilter() {
        CorsConfiguration config = new CorsConfiguration();
        config.setAllowedOrigins(Collections.singletonList("http://localhost:4200"));
        config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
        config.setAllowedHeaders(Collections.singletonList("*"));
        config.setAllowCredentials(true);
        
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", config);
        return new CorsFilter(source);
    }
}

2. OAuth2资源服务器配置：将Spring Boot配置为OAuth2资源服务器，验证来自IdM的访问令牌。在application.yml中添加：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: <IdM服务器的issuer地址>
          jwk-set-uri: <IdM服务器的JWK密钥集地址>

3. 安全规则配置：通过Spring Security的配置类，确保API端点仅允许携带有效令牌的请求访问：

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable())
            .authorizeHttpRequests(auth -> auth
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }
}

4. 可选：令牌 introspection：如果IdM支持令牌 introspection，可配置Spring Boot通过该方式验证令牌有效性，适用于需要实时校验令牌状态的场景。

内容的提问来源于stack exchange，提问作者Kun-Hung Lin