Spring Boot 1.5.9中OAuth2、表单登录与Actuator权限配置问题

我正在用Spring Boot 1.5.9开发一个应用，同时包含两个身份验证模块：基于OAuth2客户端凭证的API，以及基于Thymeleaf的CMS表单登录功能。目前已经配置了WebSecurityGlobalConfig处理表单登录，application.properties里把Actuator的上下文路径设为/management并要求ADMIN角色访问，另外通过OAuth2ServerConfiguration实现了授权服务器和资源服务器的配置。

期望的权限行为 #

• 持有带ADMIN角色的OAuth2访问令牌的用户，能访问所有Actuator端点；
• 无ADMIN角色的用户仅能访问/management/health和/management/info，且ADMIN用户访问/health时能看到默认的额外敏感信息。

当前遇到的问题 #

• 所有用户都能查看/health和/info，但ADMIN用户看不到额外信息；
• 持有ADMIN角色OAuth2令牌的用户访问其他Actuator端点（如/management/beans）时返回401未授权；
• 如果设置management.security.enabled=false，ADMIN用户能访问所有端点，但非ADMIN用户也能随意访问，不符合权限要求。

要解决这些问题，我们需要调整资源服务器配置、Actuator的安全参数，并确保多个安全配置的优先级正确。以下是具体的修改步骤：

1. 调整OAuth2资源服务器的HttpSecurity配置 #

Spring Boot 1.5.x中，@EnableResourceServer的配置优先级高于普通的WebSecurityConfigurerAdapter，所以我们需要让资源服务器专门处理Actuator路径的权限规则，避免和表单登录的配置冲突。

修改你的OAuth2资源服务器配置（如果之前和授权服务器放在一起，可以拆分出来）：

@Configuration
@EnableResourceServer
public class OAuth2ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            // 只对Actuator路径应用资源服务器的安全规则
            .requestMatchers()
                .antMatchers("/management/**")
                .and()
            .authorizeRequests()
                // 允许所有用户访问health和info
                .antMatchers("/management/health", "/management/info").permitAll()
                // 其他Actuator端点必须有ADMIN角色
                .antMatchers("/management/**").hasRole("ADMIN")
                .and()
            // 若使用H2控制台可添加此配置，否则可省略
            .headers().frameOptions().disable();
    }

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        // 设置资源ID，需和授权服务器配置的资源ID一致
        resources.resourceId("your-application-resource-id");
    }
}

2. 修改表单登录的安全配置，排除Actuator路径 #

确保你的WebSecurityGlobalConfig只处理CMS相关的路径，不要拦截Actuator的请求：

@Configuration
@Order(100) // 让这个配置优先级低于资源服务器（资源服务器默认Order为99）
public class WebSecurityGlobalConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 只对CMS和登录路径应用表单登录规则
            .requestMatchers()
                .antMatchers("/", "/login", "/cms/**")
                .and()
            .authorizeRequests()
                .antMatchers("/cms/**").hasRole("CMS_USER") // 根据你的CMS权限需求调整
                .and()
            .formLogin()
                .loginPage("/login")
                .permitAll()
                .and()
            .logout()
                .permitAll();
    }
}

3. 配置Actuator的敏感信息展示 #

在application.properties中添加以下配置，确保ADMIN用户能看到/health的额外信息：

# Actuator基础配置
management.context-path=/management
management.security.enabled=true

# 开启health端点的敏感模式，只有指定角色能看到详细信息
endpoints.health.sensitive=true
# 指定能查看health敏感信息的角色为ADMIN
endpoints.health.roles=ADMIN

4. 确保OAuth2令牌包含ADMIN角色 #

检查你的授权服务器配置，确保发放的OAuth2令牌中包含ROLE_ADMIN权限。如果是客户端凭证模式，直接给客户端分配角色：

@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    // 省略tokenStore、authenticationManager等基础配置

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
            // 管理员客户端
            .withClient("admin-client")
            .secret("{noop}admin-secret") // Spring Boot 1.5.x可用{noop}表示明文密码
            .authorizedGrantTypes("client_credentials")
            .scopes("read", "write")
            .authorities("ROLE_ADMIN") // 给这个客户端分配ADMIN角色
            // 其他客户端配置...
            .and()
            .withClient("regular-client")
            .secret("{noop}regular-secret")
            .authorizedGrantTypes("client_credentials")
            .scopes("read")
            .authorities("ROLE_USER");
    }
}

验证效果 #

• 用admin-client获取的令牌访问/management/beans：返回200，能看到端点内容；
• 用regular-client获取的令牌访问/management/beans：返回403禁止访问；
• 任意用户（包括未登录）访问/management/health：只能看到基本状态（比如{"status":"UP"}）；
• 用admin-client的令牌访问/management/health：能看到完整的健康详情（比如数据库、磁盘等状态）。

内容的提问来源于stack exchange，提问作者Wim Deblauwe