Spring Cloud Security+@EnableOAuth2Sso的OAuth2角色校验实现咨询

嘿，针对你的问题，我来给你梳理下解决方案——你完全可以通过继承WebSecurityConfigurerAdapter并添加自定义过滤器来实现OAuth2认证后的角色校验，这也是Spring Cloud Security中扩展认证逻辑的常规操作。下面给你详细的步骤和示例代码：

核心思路说明 #

@EnableOAuth2Sso已经帮我们封装了基础的OAuth2单点登录流程，但要在认证完成后额外做角色校验，就需要自定义配置类覆盖默认的安全配置，插入我们的校验逻辑。自定义过滤器会在OAuth2认证完成后触发，检查当前用户是否拥有指定的权限角色。

步骤1：创建自定义角色校验过滤器 #

我们继承OncePerRequestFilter（确保每个请求只被过滤一次），在过滤器中获取已认证的OAuth2用户信息，校验角色是否符合要求：

import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.oauth2.provider.OAuth2Authentication;
import org.springframework.security.web.filter.OncePerRequestFilter;
import org.springframework.security.core.context.SecurityContextHolder;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.Collection;

public class OAuth2RoleValidationFilter extends OncePerRequestFilter {

    // 定义你需要校验的目标角色
    private static final String REQUIRED_ROLE = "ROLE_CONFIG_ADMIN";

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();

        // 仅处理已完成OAuth2认证的请求
        if (authentication instanceof OAuth2Authentication) {
            OAuth2Authentication oAuth2Auth = (OAuth2Authentication) authentication;
            Collection<? extends GrantedAuthority> authorities = oAuth2Auth.getAuthorities();

            // 检查用户是否包含所需角色
            boolean hasRequiredRole = authorities.stream()
                    .anyMatch(auth -> auth.getAuthority().equals(REQUIRED_ROLE));

            if (!hasRequiredRole) {
                // 校验不通过时，清空安全上下文并返回403禁止访问
                SecurityContextHolder.clearContext();
                response.sendError(HttpServletResponse.SC_FORBIDDEN, "权限不足：需要角色 " + REQUIRED_ROLE);
                return;
            }
        }

        // 校验通过，继续执行后续过滤链
        filterChain.doFilter(request, response);
    }
}

步骤2：配置WebSecurity并注入过滤器 #

创建继承WebSecurityConfigurerAdapter的配置类，加上@EnableOAuth2Sso注解，然后在configure(HttpSecurity)方法中将自定义过滤器加入过滤链（注意要放在OAuth2认证过滤器之后）：

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableOAuth2Sso;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

@Configuration
@EnableOAuth2Sso
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .anyRequest().authenticated() // 所有请求都需要先完成认证
                .and()
            // 将自定义过滤器放在UsernamePasswordAuthenticationFilter之后，确保OAuth2认证已完成
            .addFilterAfter(new OAuth2RoleValidationFilter(), UsernamePasswordAuthenticationFilter.class);
    }
}

额外注意事项 #

• 角色来源调整：如果你的角色信息存储在OAuth提供商返回的用户详情中，可能需要从oAuth2Auth.getUserAuthentication().getAuthorities()获取权限集合，具体取决于你的OAuth服务返回的用户结构。
• 异常处理优化：示例中直接返回403错误，你也可以自定义认证失败处理器，比如重定向到无权限页面或返回JSON格式的错误响应。
• 依赖确认：确保项目中已引入spring-cloud-starter-security和spring-cloud-starter-oauth2依赖。
• OAuth客户端配置：别忘了在配置文件中填写你的OAuth客户端信息，示例配置如下：

security:
  oauth2:
    client:
      client-id: your-client-id
      client-secret: your-client-secret
      access-token-uri: https://your-oauth-provider.com/oauth/token
      user-authorization-uri: https://your-oauth-provider.com/oauth/authorize
    resource:
      user-info-uri: https://your-oauth-provider.com/userinfo

内容的提问来源于stack exchange，提问作者chad