Spring NimbusJwtDecoder: posredovanje prenosa nabora JWK prek proxyja

Dajte servletnemu dekoderju RestTemplate, ki pozna proxy, in ob zamenjavi samodejne konfiguracije ohranite validacijske elemente issuer, audience in dodatne validacijske elemente žetonov.

Dohodna zahteva bearer lahko doseže strežnik virov, medtem ko preverjanje JWT ne uspe pri odhodnem prenosu JWK. Konfigurirajte odjemalca HTTP, ki ga uporablja ta dekoder:

var factory = new org.springframework.http.client.SimpleClientHttpRequestFactory();
factory.setProxy(new java.net.Proxy(
    java.net.Proxy.Type.HTTP,
    new java.net.InetSocketAddress("proxy.example", 8080)));
var rest = new org.springframework.web.client.RestTemplate(factory);

var decoder = org.springframework.security.oauth2.jwt.NimbusJwtDecoder
    .withJwkSetUri(jwkSetUri)
    .restOperations(rest)
    .build();
decoder.setJwtValidator(
    org.springframework.security.oauth2.jwt.JwtValidators
        .createDefaultWithIssuer(issuer));

Uporabite prave jwkSetUri in issuer aplikacije ter ta dekoder namestite v dejansko konfiguracijo strežnika virov. Primer uporablja neavtentificiran proxy HTTP z dekoderjem Nimbus v slogu servlet. Za javni URL JWK na dovoljeni poti javnega proxyja seznam proxyjev HTTP ponuja možne vrednosti gostitelja in vrat.

Validator issuer v primeru ne nadomešča zahtevanih preverjanj audience ali drugih preverjanj aplikacije. Ob zamenjavi samodejno konfiguriranega dekoderja jih ohranite; sprememba poti prenosa ključa ne določa, katere žetone naj aplikacija sprejme.

Reaktivni dekoder uporablja drug vmesnik. Tudi drugi odjemalci za odkrivanje issuer ali pridobivanje žetonov ohranjajo svojo konfiguracijo prenosa.

Predpomnjena ključa lahko omogočijo uspešno preverjanje brez novega prenosa. Pri ocenjevanju poti ohranite URL neuspešnega ključa in fazo osvežitve ali inicializacije.

Sorodni članki