Spring Reactive OAuth2: solicitudes de token client_credentials con proxy

Un recurso WebClient que pasa por un proxy todavía puede fallar antes de su llamada a la API si la obtención del token usa otro conector. Para el flujo reactivo de client_credentials de Spring Security 6.5, conecta las tres piezas:

HttpClient route = HttpClient.create()
    .proxy(p -> p.type(ProxyProvider.Proxy.HTTP)
        .host("proxy.example").port(8080));
WebClient tokenHttp = WebClient.builder()
    .clientConnector(new ReactorClientHttpConnector(route))
    .build();

var tokens = new WebClientReactiveClientCredentialsTokenResponseClient();
tokens.setWebClient(tokenHttp);

var provider = new ClientCredentialsReactiveOAuth2AuthorizedClientProvider();
provider.setAccessTokenResponseClient(tokens);

var manager = new AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager(
    registrations, authorizedClients);
manager.setAuthorizedClientProvider(provider);

tokens.setWebClient asigna el cliente HTTP del token; provider.setAccessTokenResponseClient lo asigna al proveedor de la concesión; manager.setAuthorizedClientProvider instala ese proveedor. Usa este gestor en el filtro OAuth real o en el flujo de trabajo de authorized-client.

HttpClient y ProxyProvider son tipos de Reactor Netty. WebClient y su conector son tipos de Spring WebFlux. Pasa el ReactiveClientRegistrationRepository existente como registrations y el ReactiveOAuth2AuthorizedClientService como authorizedClients.

Este proveedor gestiona client_credentials; conserva una cadena de proveedores adecuada si se necesitan otras concesiones. El ejemplo no tiene cuenta de proxy: pertenecería al transporte y no al ID/secreto del cliente OAuth. Para un endpoint de token público permitido a través de un intermediario público, elige host y puerto de la lista de proxies HTTP.

Configura también el conector del recurso protegido cuando esas llamadas a la API necesiten la ruta. El éxito del token y el de la API son resultados distintos.