Spring Reactive OAuth2: pedidos de token client_credentials via proxy

Um recurso WebClient que passa por um proxy ainda pode falhar antes da chamada à API se a obtenção do token usar outro conector. Para o fluxo reativo de client_credentials do Spring Security 6.5, ligue as três partes:

HttpClient route = HttpClient.create()
    .proxy(p -> p.type(ProxyProvider.Proxy.HTTP)
        .host("proxy.example").port(8080));
WebClient tokenHttp = WebClient.builder()
    .clientConnector(new ReactorClientHttpConnector(route))
    .build();

var tokens = new WebClientReactiveClientCredentialsTokenResponseClient();
tokens.setWebClient(tokenHttp);

var provider = new ClientCredentialsReactiveOAuth2AuthorizedClientProvider();
provider.setAccessTokenResponseClient(tokens);

var manager = new AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager(
    registrations, authorizedClients);
manager.setAuthorizedClientProvider(provider);

tokens.setWebClient atribui o cliente HTTP do token; provider.setAccessTokenResponseClient atribui-o ao provedor da concessão; manager.setAuthorizedClientProvider instala esse provedor. Use este gestor no filtro OAuth real ou no fluxo de trabalho authorized-client.

HttpClient e ProxyProvider são tipos Reactor Netty. WebClient e o seu conector são tipos Spring WebFlux. Passe o ReactiveClientRegistrationRepository existente como registrations e o ReactiveOAuth2AuthorizedClientService como authorizedClients.

Este provedor trata de client_credentials; mantenha uma cadeia de provedores adequada se forem necessárias outras concessões. O exemplo não tem conta de proxy; essa pertenceria ao transporte e não ao ID/segredo do cliente OAuth. Para um endpoint de token público permitido através de um intermediário público, escolha host e porta da lista de proxies HTTP.

Configure também o conector do recurso protegido quando essas chamadas à API precisarem da rota. O sucesso do token e o sucesso da API são resultados separados.