Oauth2 인증 서버 구현 질문드립니다.

Question

안녕하세요. spring-security-oauth2-authorization-server:1.2.2 라이브러리를 이용해서 auth 서버를 구현하고 있습니다.공식 문서에 들어가서 거기 나온 예제를 적용해서 구현하고 있는데 oidc 를 이용해서 auth code 를 받아오는 부분을 구현 할 때 문제가 발생하고 있습니다. """ @Configuration@EnableWebSecuritypublic class SecurityCon { @Bean @Order(1) public SecurityFilterChain authorizationServerSecurityFilterChain( HttpSecurity http) throws Exception { OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http); http.getConfigurer( OAuth2AuthorizationServerConfigurer.class) .oidc( oidc -> oidc .providerConfigurationEndpoint( provider -> provider .providerConfigurationCustomizer( config->config .issuer( "http://localhost:8000" ) .userInfoEndpoint( "/user" ) .authorizationEndpoint( "/login/oauth2/oidc-client" ) ) ) ); // Enable OpenID Connect 1.0 return http.build(); } @Bean @Order(2) public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests((authorize) -> authorize .anyRequest().permitAll() ) .csrf( httpSecurityCsrfConfigurer -> httpSecurityCsrfConfigurer.disable()); // Form login handles the redirect to the login page from the // authorization server filter chain// .formLogin(Customizer.withDefaults()); return http.build(); } @Bean public UserDetailsService userDetailsService() { UserDetails userDetails = User.withDefaultPasswordEncoder() .username("user") .password("user") .roles("USER") .build(); return new InMemoryUserDetailsManager(userDetails); } @Bean public RegisteredClientRepository registeredClientRepository() { RegisteredClient oidcClient = RegisteredClient.withId( UUID.randomUUID().toString()) .clientId("oidc-client") .clientSecret("{noop}secret") .scope( OidcScopes.OPENID )// .clientAuthenticationMethod( ClientAuthenticationMethod.CLIENT_SECRET_BASIC) .authorizationGrantType( AuthorizationGrantType.AUTHORIZATION_CODE) .authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN) .redirectUri("http://127.0.0.1:8000/login/oauth2/code/oidc-client") .postLogoutRedirectUri("http://127.0.0.1:8000/") .clientSettings( ClientSettings.builder().requireAuthorizationConsent(true).build()) .build(); return new InMemoryRegisteredClientRepository(oidcClient); } @Bean public JWKSource< SecurityContext > jwkSource() { KeyPair keyPair = generateRsaKey(); RSAPublicKey publicKey = (RSAPublicKey) keyPair.getPublic(); RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate(); RSAKey rsaKey = new RSAKey.Builder(publicKey) .privateKey(privateKey) .keyID(UUID.randomUUID().toString()) .build(); JWKSet jwkSet = new JWKSet(rsaKey); return new ImmutableJWKSet<>(jwkSet); } private static KeyPair generateRsaKey() { KeyPair keyPair; try { KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA"); keyPairGenerator.initialize(2048); keyPair = keyPairGenerator.generateKeyPair(); } catch (Exception ex) { throw new IllegalStateException(ex); } return keyPair; } @Bean public JwtDecoder jwtDecoder( JWKSource< SecurityContext > jwkSource) { return OAuth2AuthorizationServerConfiguration.jwtDecoder(jwkSource); } @Bean public AuthorizationServerSettings authorizationServerSettings() { return AuthorizationServerSettings.builder().build(); } }"""이런식으로 설정을 했는데 예제에 나와있는것 처럼 oidc(Customizer.withDefaults()) 로 하고 formLogin 을 설정 할 경우 spring security 내에 있는 login form 이 뜨고 거기에서 로그인 성공 했을경우 code 값을 받아오고 있습니다. 하지만 제가 원하는거는 spring security 내에 있는 로그인 폼이 아닌 제가 만든 login 화면으로 redirect 된 다음 거기서 로그인을 요청할 경우 제가 설정한 custom oidc authentication provider 에서 처리를 해서 auth code 를 전달 해주고 싶습니다. 제가 현재 놓치고 있는 부분은 무엇이고 어느 부분을 수정해야 되는지 알려주실 수 있으신가요?

kkang01 · Answer

https://docs.spring.io/spring-security/reference/servlet/authentication/passwords/form.html@see Custom Login Form Configuration

kenu,전독시 · Answer

Spring Security OAuth2 인증 서버를 사용하여 사용자 정의 로그인 페이지로 리다이렉트하고, 사용자 정의 OIDC 인증 제공자를 통해 인증을 처리하려면 몇 가지 조정이 필요합니다. 다음은 이를 달성하기 위해 필요한 변경 사항에 대한 단계별 가이드입니다:1. *사용자 정의 로그인 페이지로 리다이렉트*: Spring Security를 설정하여 인증되지 않은 요청을 사용자 정의 로그인 페이지로 리다이렉트하도록 해야 합니다. 이는 AuthenticationEntryPoint을 설정하여 사용자 정의 로그인 페이지로 리다이렉트하는 것으로 수행할 수 있습니다.2. *사용자 정의 OIDC 인증 제공자 구현*: 사용자 정의 로그인 페이지에서 인증 과정을 처리할 수 있는 인증 제공자를 구현해야 합니다. 이 제공자는 사용자를 인증하고 인증 코드를 생성하여 클라이언트에 반환할 수 있어야 합니다.3. *Spring Security가 사용자 정의 인증 제공자를 사용하도록 구성*: Spring Security가 인증 요청을 처리하기 위해 사용자 정의 인증 제공자를 사용하도록 구성해야 합니다.다음은 SecurityCon 클래스를 조정하여 이러한 변경 사항을 포함하는 방법입니다:```java@Configuration@EnableWebSecuritypublic class SecurityCon { @Bean @Order(1) public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception { OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http); http.getConfigurer(OAuth2AuthorizationServerConfigurer.class) .oidc(oidc -> oidc .providerConfigurationEndpoint(provider -> provider .providerConfigurationCustomizer(config -> config .issuer("http://localhost:8000") .userInfoEndpoint("/user") .authorizationEndpoint("/login/oauth2/oidc-client")))) .and() .exceptionHandling(exceptions -> exceptions .defaultAuthenticationEntryPointFor( new LoginUrlAuthenticationEntryPoint("/custom-login"), new MediaTypeRequestMatcher(MediaType.TEXT_HTML) )); return http.build(); } @Bean @Order(2) public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception { http .authorizeHttpRequests(authorize -> authorize .anyRequest().authenticated()) .formLogin(Customizer.withDefaults()); return http.build(); } // 기존 빈 (userDetailsService, registeredClientRepository, jwkSource 등) // 사용자 정의 인증 제공자 빈 추가 @Bean public AuthenticationProvider customOidcAuthenticationProvider() { // 여기에 사용자 정의 인증 제공자 구현 return new CustomOidcAuthenticationProvider(); } // Spring Security에 사용자 정의 인증 제공자 등록 @Autowired public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception { auth.authenticationProvider(customOidcAuthenticationProvider()); }}```이 구성에서:- exceptionHandling 메서드는 인증되지 않은 요청을 사용자 정의 로그인 페이지(/custom-login)로 리다이렉트하는 사용자 정의 AuthenticationEntryPoint을 설정하는 데 사용됩니다.- CustomOidcAuthenticationProvider라는 이름의 사용자 정의 AuthenticationProvider가 정의되어 있습니다. 여기에서 사용자 정의 로그인 페이지에서 인증 로직을 처리하는 방법을 구현해야 합니다.- configureGlobal 메서드는 Spring Security에 사용자 정의 AuthenticationProvider를 등록하는 데 사용됩니다.CustomOidcAuthenticationProvider에서는 사용자 정의 로그인 페이지에서 사용자를 인증하고 인증 코드를 생성하는 로직을 구현해야 합니다. 이는 사용자의 자격 증명을 검증하고, 인증 코드를 생성하고, 사용자를 클라이언트에 반환하는 과정을 포함할 수 있습니다.이 접근 방식을 사용하면 Spring Security의 강력한 보안 기능을 활용하면서 인증 과정을 제어할 수 있습니다.Citations:[1] https://stackoverflow.com/questions/76057186/spring-security-oauth2-login-with-custom-authentication[2] https://stackoverflow.com/questions/78151574/how-to-accept-custom-oauth2-and-oidc-authentication-server[3] https://docs.spring.io/spring-security/site/docs/5.0.7.RELEASE/reference/html/oauth2login-advanced.html[4] https://www.baeldung.com/spring-security-5-oauth2-login[5] https://www.baeldung.com/spring-security-oauth-auth-server[6] https://docs.spring.io/spring-security/reference/servlet/oauth2/login/advanced.html[7] https://docs.spring.io/spring-security/reference/servlet/oauth2/login/core.html[8] https://www.baeldung.com/spring-security-custom-oauth-requests[9] https://medium.com/juliusbaerengineering/implementing-oauth2-oidc-and-its-agents-with-spring-15bfb1d46c76[10] https://developer.okta.com/blog/2019/03/12/oauth2-spring-security-guide[11] https://docs.spring.io/spring-security/reference/servlet/oauth2/login/index.html[12] https://medium.com/javarevisited/oauth-2-0-authorization-code-flow-in-spring-boot-d8ff393f316d[13] https://www.baeldung.com/spring-security-openid-connect[14] https://spring.io/projects/spring-authorization-server/[15] https://docs.spring.io/spring-security/reference/servlet/oauth2/index.htmlfrom: https://www.phind.com/search?cache=v6fwv6rvr2g5fz3ae8rw1sji

Oauth2 인증 서버 구현 질문드립니다.

2개의 답변

기술 목록