Spring Reactive OAuth2: proxied client_credentials-Tokenanfragen

Eine über einen Proxy laufende Ressource WebClient kann noch vor ihrem API-Aufruf scheitern, wenn der Tokenbezug einen anderen Connector nutzt. Für den reaktiven client_credentials-Flow in Spring Security 6.5 alle drei Teile verbinden:

HttpClient route = HttpClient.create()
    .proxy(p -> p.type(ProxyProvider.Proxy.HTTP)
        .host("proxy.example").port(8080));
WebClient tokenHttp = WebClient.builder()
    .clientConnector(new ReactorClientHttpConnector(route))
    .build();

var tokens = new WebClientReactiveClientCredentialsTokenResponseClient();
tokens.setWebClient(tokenHttp);

var provider = new ClientCredentialsReactiveOAuth2AuthorizedClientProvider();
provider.setAccessTokenResponseClient(tokens);

var manager = new AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager(
    registrations, authorizedClients);
manager.setAuthorizedClientProvider(provider);

tokens.setWebClient weist den Token-HTTP-Client zu; provider.setAccessTokenResponseClient weist ihn dem Grant-Provider zu; manager.setAuthorizedClientProvider installiert diesen Provider. Diesen Manager im tatsächlichen OAuth-Filter oder im Authorized-Client-Workflow verwenden.

HttpClient und ProxyProvider sind Reactor-Netty-Typen. WebClient und sein Connector sind Spring-WebFlux-Typen. Den vorhandenen ReactiveClientRegistrationRepository als registrations und ReactiveOAuth2AuthorizedClientService als authorizedClients übergeben.

Dieser Provider verarbeitet client_credentials; eine passende Provider-Kette beibehalten, wenn andere Grants nötig sind. Das Beispiel hat kein Proxy-Konto; dieses gehörte zum Transport und nicht zur OAuth-Client-ID bzw. zum Secret. Für einen öffentlichen Token-Endpunkt, der über einen öffentlichen Vermittler erlaubt ist, Host und Port aus der HTTP-Proxy-Liste wählen.

Auch den Connector der geschützten Ressource konfigurieren, wenn diese API-Aufrufe die Route brauchen. Token-Erfolg und API-Erfolg sind getrennte Ergebnisse.