我正在尝试让自定义 Web 应用程序与 Azure B2C OAuth 和 Spring OAuth2.0 框架配合使用。
身份验证部分正常返回,我收到了 JWT token 。当随后发生 token 请求时,我收到以下错误:
java.lang.IllegalStateException: Access token provider returned a null access token, which is illegal according to the contract.
at org.springframework.security.oauth2.client.OAuth2RestTemplate.acquireAccessToken(OAuth2RestTemplate.java:223) ~[spring-security-oauth2-2.0.8.RELEASE.jar:na]
at org.springframework.security.oauth2.client.OAuth2RestTemplate.getAccessToken(OAuth2RestTemplate.java:173) ~[spring-security-oauth2-2.0.8.RELEASE.jar:na]
...
从 Spring 代码的一些调试中,我可以看到 token 预计被称为 access_token
,如 OAuth2AccessToken
类中所示。从 B2C 教程来看,他们的 token 称为 token_id
。此外,我的 Spring 应用程序的 applications.yml 配置有一个名为 tokenName 的字段。当然,这应该用于获取 token 名称字段,而不是如上所述的硬编码静态变量。
我是否遗漏了什么以及我的问题是否有解决方案。我可以覆盖 Spring OAuth 框架使用的 token 名称字段吗?
最佳答案
我将继续将其作为答案发布。
我从 Spring 教程开始,并对它做了一些修改。有关工作示例,请参阅公共(public) github 存储库:https://github.com/Pytry/azure-b2c-oauth2.git
要正确解析收到的 token ,您需要:
AccessToken 的自定义实现,它将解析 JWT,根据 Spring Security 的要求提取和设置变量。我扩展了 DefaultOAuth2AccessToken 并将此解析添加到构造函数调用的私有(private)方法中。
如果您要使用公钥验证 RSA 签名,则需要一个自定义 JWT 对象,以便可以访问 header 信息。我选择扩展 springs JWT,并在创建时添加一些解析以访问 header 。使用一些自定义 Pojo 来解析返回的元数据和 rsakey 信息也可能很有用。
JwtAccessTokenConverter 的扩展,具有重写的“解码”方法。 Azure 不会在返回的 id_token 中提供“user_name”或“client_id”,因此您需要添加它们。我还在父类(super class)中包含了一些我认为有效的逻辑(例如在适当的时候将字符串转换为 int/long)。
自定义 UserDetailsManger,用于覆盖内存中的默认值。这可以从 GraphAPI 检索用户信息,也可以从用户存储库加载它。我实际上没有创建其中任何一个,而是使用内存服务中的默认值,但将其注入(inject)到 token 转换器中;然后,只要用户经过正确的身份验证,我就会将它们添加到管理器存储中,或者更新它们(如果它们已经存在)。
还有一些事情我还没有做。
- 未进行 RSA 验证。如有任何帮助,我们将不胜感激。
关于spring - Azure B2C 访问 token NULL Spring OAuth 2.0,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/34811943/