Spring Reactive OAuth2: запити токена client_credentials через проксі

Ресурс WebClient, що працює через проксі, все одно може зазнати збою до виклику API, якщо отримання токена використовує інший конектор. Для реактивного потоку client_credentials у Spring Security 6.5 з'єднайте всі три частини:

HttpClient route = HttpClient.create()
    .proxy(p -> p.type(ProxyProvider.Proxy.HTTP)
        .host("proxy.example").port(8080));
WebClient tokenHttp = WebClient.builder()
    .clientConnector(new ReactorClientHttpConnector(route))
    .build();

var tokens = new WebClientReactiveClientCredentialsTokenResponseClient();
tokens.setWebClient(tokenHttp);

var provider = new ClientCredentialsReactiveOAuth2AuthorizedClientProvider();
provider.setAccessTokenResponseClient(tokens);

var manager = new AuthorizedClientServiceReactiveOAuth2AuthorizedClientManager(
    registrations, authorizedClients);
manager.setAuthorizedClientProvider(provider);

tokens.setWebClient призначає HTTP-клієнт токена; provider.setAccessTokenResponseClient призначає його провайдеру гранта; manager.setAuthorizedClientProvider встановлює цей провайдер. Використовуйте цей менеджер у реальному фільтрі OAuth або в робочому процесі authorized-client.

HttpClient і ProxyProvider — типи Reactor Netty. WebClient та його конектор — типи Spring WebFlux. Передайте наявний ReactiveClientRegistrationRepository як registrations, а ReactiveOAuth2AuthorizedClientService як authorizedClients.

Цей провайдер обробляє client_credentials; зберігайте належний ланцюг провайдерів, якщо потрібні інші гранти. У прикладі немає облікового запису проксі: він належав би до транспорту, а не до OAuth client ID/secret. Для публічної кінцевої точки токена, дозволеної через публічний посередник, вибирайте хост і порт зі списку HTTP-проксі.

Налаштуйте також конектор захищеного ресурсу, коли цим викликам API потрібен маршрут. Успіх токена й успіх API — окремі результати.