Spring Security整合KeyCloak保护Rest API实现详解

介绍

在Web应用程序开发过程中，保护Rest API以及安全相关的问题一直是开发人员必须关注的重点。Spring Security和KeyCloak是两个非常流行的安全框架，它们可以保护您的应用程序免受各种安全威胁。在本文中，我们将探讨如何使用Spring Security和KeyCloak以及如何保护Rest API。

前置条件

在开始之前，您需要安装并配置以下软件：

• JDK 1.8+
• Maven
• Spring Boot
• KeyCloak

步骤

1. 添加Spring Security和KeyCloak依赖

在Maven项目中，您需要在pom.xml文件中添加以下依赖：

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>

    <dependency>
        <groupId>org.keycloak</groupId>
        <artifactId>keycloak-spring-boot-starter</artifactId>
        <version>${keycloak.version}</version>
    </dependency>

    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-test</artifactId>
        <scope>test</scope>
    </dependency>
</dependencies>

2. 配置Spring Security和KeyCloak

在application.yml文件中添加以下配置：

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://localhost:8180/auth/realms/{realm名字}

这里的realm名字是您创建的KeyCloak域名。

另外，我们还需要在application.yml文件中添加KeyCloak的配置：

keycloak:
  realm: {your-realm}     # 创建的Keycloak域名
  auth-server-url: http://{your-keycloak-ip}:{port}/auth
  ssl-required: none
  resource: {your-clientid}      # Keycloak注册应用的client_id
  credentials:
    secret: {your-client-secret}     # Keycloak注册应用的client_secret
  bearer-only: true

spring:
  main:
    allow-bean-definition-overriding: true

3. 创建Controller

创建一个Restful API，并使用@RestController注释进行注释。此处以获取用户信息为例，示例代码如下：

@RestController
public class UserController {
    @GetMapping("/users")
    public ResponseEntity<String> getUser() {
        return ResponseEntity.ok("{'name': 'Tom'}");
    }
}

4. 配置Spring Security

创建一个扩展WebSecurityConfigurerAdapter的类，用于配置Spring Security。代码如下：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/users").hasRole("USER")
                .anyRequest().authenticated()
                .and().oauth2ResourceServer().jwt();
    }
}

此处hasRole(“USER”)表示仅允许拥有“USER”角色的用户访问/users API。jwt()表示使用JWT来保护API。

5. 运行应用程序

使用Maven运行应用程序：

mvn spring-boot:run

6. 测试API保护

使用您选择的HTTP客户端测试API保护。首先，您需要获得一个JWT。在使用该JWT之前，请确保您拥有“USER”角色。

export realm="your-realm-name"
export username="your_username"
export password="your_password"
export client_id="your_client_id"
export client_secret="your_client_secret"
export token=$(curl --data "grant_type=password&username=$username&password=$password&client_id=$client_id&client_secret=$client_secret" "http://localhost:8180/auth/realms/$realm/protocol/openid-connect/token" | jq -r .access_token)

curl -H "Authorization: Bearer $token" http://localhost:8080/users

以上内容中的your-realm-name是你KeyCloak上创建的realm名字，your_username、your_password、your_client_id、your_client_secret分别是你在KeyCloak上创建的realm中注册的用户名、密码和应用程序的ID和机密。

结论

本文介绍了如何在Spring Boot中结合Spring Security和KeyCloak保护REST API。我们了解了如何在Spring Boot应用程序中配置KeyCloak和Spring Security，并创建了一个具有基本安全保护的REST API。