Spring Reactive OAuth2: client_credentials-tokenaanvragen via proxy

Een via een proxy lopende resource WebClient kan nog steeds falen vóór de API-aanroep als het ophalen van het token een andere connector gebruikt. Verbind voor de reactieve client_credentials-flow van Spring Security 6.5 alle drie de delen:

HttpClient route = HttpClient.create()
    .proxy(p -> p.type(ProxyProvider.Proxy.HTTP)
        .host("proxy.example").port(8080));
WebClient tokenHttp = WebClient.builder()
    .clientConnector(new ReactorClientHttpConnector(route))
    .build();

var tokens = new WebClientReactiveClientCredentialsTokenResponseClient();
tokens.setWebClient(tokenHttp);

var provider = new ClientCredentialsReactiveOAuth2AuthorizedClientProvider();
provider.setAccessTokenResponseClient(tokens);

var manager = new AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager(
    registrations, authorizedClients);
manager.setAuthorizedClientProvider(provider);

tokens.setWebClient wijst de token-HTTP-client toe; provider.setAccessTokenResponseClient wijst die toe aan de grant-provider; manager.setAuthorizedClientProvider installeert die provider. Gebruik deze manager in het daadwerkelijke OAuth-filter of de authorized-client-workflow.

HttpClient en ProxyProvider zijn Reactor Netty-typen. WebClient en de bijbehorende connector zijn Spring WebFlux-typen. Geef de bestaande ReactiveClientRegistrationRepository door als registrations en ReactiveOAuth2AuthorizedClientService als authorizedClients.

Deze provider verwerkt client_credentials; behoud een passende providerketen als andere grants nodig zijn. Het voorbeeld heeft geen proxyaccount; dat zou bij het transport horen en niet bij de OAuth-client-ID/secret. Kies voor een openbaar token-endpoint dat via een openbare tussenpartij is toegestaan host en poort uit de HTTP-proxylijst.

Configureer ook de connector van de beschermde resource wanneer die API-aanroepen de route nodig hebben. Token- en API-succes zijn afzonderlijke uitkomsten.