如何为运行在Tomcat上的Spring MVC应用配置集成IBM App ID

一、前置依赖引入 #

优先用Spring官方的OIDC协议适配包，兼容性更强，不需要绑定IBM私有SDK：

• 若使用Spring 5.x+、Spring Security 5.2+版本，直接引入spring-security-oauth2-client和spring-security-oauth2-jose两个核心依赖即可
• 若使用低于上述版本的旧框架，可引入IBM官方Java SDK：ibmcloud-appid-java-sdk，选最新稳定版即可

注意：Tomcat版本需保证8.5+，否则OIDC回调请求的参数编码可能出现解析异常

二、配置修改 #

2.1 应用属性配置 #

在application.properties或application.yml中添加OIDC核心配置，所有参数均可从IBM App ID控制台获取：

# App ID客户端配置
spring.security.oauth2.client.registration.appid.client-id=你的App ID clientId
spring.security.oauth2.client.registration.appid.client-secret=你的App ID clientSecret
spring.security.oauth2.client.registration.appid.scope=openid,email,profile
spring.security.oauth2.client.registration.appid.redirect-uri={baseUrl}/login/oauth2/code/appid
spring.security.oauth2.client.registration.appid.authorization-grant-type=authorization_code

# App ID服务端配置
spring.security.oauth2.client.provider.appid.issuer-uri=你的App ID实例OIDC地址，格式为https://<区域>.appid.cloud.ibm.com/oauth/v4/<租户ID>
spring.security.oauth2.client.provider.appid.user-name-attribute=email

2.2 Tomcat适配调整 #

• 确认IBM App ID控制台配置的重定向URI，和Tomcat暴露的访问地址（协议、域名、端口）完全一致
• 若Tomcat前端有Nginx等反向代理，需要在server.xml的Connector节点添加代理配置，保证Spring能拿到正确的原始请求信息：

<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443"
           proxyName="你的公网域名"
           proxyPort="443"
           scheme="https" />

无需修改Tomcat其他默认配置或额外部署组件。

三、代码开发调整 #

3.1 认证拦截配置 #

在Spring Security配置类中添加规则，示例（Spring 5.x版本，Spring 6可替换为SecurityFilterChain写法）：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                // 静态资源、公开接口放通
                .antMatchers("/static/**", "/public/**").permitAll()
                .anyRequest().authenticated()
                .and()
            .oauth2Login()
                // 登录成功默认跳转地址
                .defaultSuccessUrl("/home", true)
                // 登录失败跳转地址
                .failureUrl("/login-error?msg=auth_fail");
    }
}

3.2 用户信息获取 #

登录成功后可直接从安全上下文拿到App ID返回的用户信息：

@GetMapping("/current-user")
@ResponseBody
public Map<String, Object> getCurrentUser() {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    if (auth.getPrincipal() instanceof OidcUser) {
        OidcUser user = (OidcUser) auth.getPrincipal();
        return Map.of(
            "userId", user.getSubject(),
            "email", user.getEmail(),
            "name", user.getFullName()
        );
    }
    return Collections.emptyMap();
}

3.3 全局登出适配 #

如果需要同步注销App ID的登录状态，本地登出后跳转至App ID的登出接口即可：

@GetMapping("/logout")
public String logout(HttpServletRequest request) throws ServletException {
    // 销毁本地会话
    request.logout();
    // 拼接App ID登出地址，登出后跳转回应用首页
    String logoutUrl = "https://<区域>.appid.cloud.ibm.com/oauth/v4/<租户ID>/logout?client_id=<你的clientId>&redirect_uri=<你的首页地址>";
    return "redirect:" + logoutUrl;
}

四、验证步骤 #

1. 本地启动Tomcat，访问需要认证的接口，确认自动跳转至App ID登录页
2. 输入账号登录后，确认正常跳转回应用，且能拿到正确的用户信息
3. 测试登出功能，确认登出后再次访问受保护接口会重新触发登录流程
   注意：本地测试时需要把localhost的回调地址添加到App ID控制台的白名单中，否则会报回调地址不匹配错误

内容的提问来源于stack exchange，提问作者Comrade Bansu