Spring Security с oidc: обновите токены

даже награда в 100 очков репутации не дала ответа. Поэтому я предполагаю, что в настоящее время не реализован механизм для автоматического обновления токена доступа с помощью Spring Security.

Действительной альтернативой, похоже, является адаптер Spring boot keycloak, который может обновлять токен.

Согласно документации,

https://docs.spring.io/spring-security/site/docs/current/reference/htmlsingle/#webclient

При использовании правильно настроенного WebClient, как указано в документации, он будет автоматически обновлен.

Spring Security will automatically refresh expired tokens (if a refresh token is present)

Это также поддерживается матрицей функций, в которой поддерживаются токены обновления.

https://github.com/spring-projects/spring-security/wiki/OAuth-2.0-Features-Matrix

Был более старый блог о Spring Security 5, который дает вам доступ к bean-компонентам, которые вы можете сделать вручную,

Authentication authentication =
    SecurityContextHolder
        .getContext()
        .getAuthentication();

OAuth2AuthenticationToken oauthToken =
    (OAuth2AuthenticationToken) authentication;

There will be an OAuth2AuthorizedClientService automatically configured as a bean in the Spring application context, so you’ll only need to inject it into wherever you’ll use it.

OAuth2AuthorizedClient client =
    clientService.loadAuthorizedClient(
            oauthToken.getAuthorizedClientRegistrationId(),
            oauthToken.getName());

String refreshToken = client.getRefreshToken();

И, не могу найти его прямо сейчас, но я предполагаю, что как часть OAuth2AuthorizedClientExchangeFilterFunction есть вызовы для обновления.

Согласно https://github.com/spring-projects/spring-security/issues/6742 кажется, что токен намеренно не обновляется:

An ID Token typically comes with an expiration date. The RP MAY rely on it to expire the RP session.

Spring - нет. В конце упоминаются два улучшения, которые должны решить некоторые проблемы с обновлением - оба все еще открыты.

В качестве обходного пути я реализовал GenericFilterBean, который проверяет токен и очищает аутентификацию в текущем контексте безопасности. Таким образом, необходим новый токен.

@Configuration
public class RefreshTokenFilterConfig {

    @Bean
    GenericFilterBean refreshTokenFilter(OAuth2AuthorizedClientService clientService) {
        return new GenericFilterBean() {
            @Override
            public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
                Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
                if (authentication != null && authentication instanceof OAuth2AuthenticationToken) {
                    OAuth2AuthenticationToken token = (OAuth2AuthenticationToken) authentication;
                    OAuth2AuthorizedClient client =
                            clientService.loadAuthorizedClient(
                                    token.getAuthorizedClientRegistrationId(),
                                    token.getName());
                    OAuth2AccessToken accessToken = client.getAccessToken();
                    if (accessToken.getExpiresAt().isBefore(Instant.now())) {
                        SecurityContextHolder.getContext().setAuthentication(null);
                    }
                }
                filterChain.doFilter(servletRequest, servletResponse);
            }
        };
    }
}

Кроме того, мне пришлось добавить фильтр в конфигурацию безопасности:

@Bean
public WebSecurityConfigurerAdapter webSecurityConfigurer(GenericFilterBean refreshTokenFilter) {
    return new WebSecurityConfigurerAdapter() {
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http
                   .addFilterBefore(refreshTokenFilter,  AnonymousAuthenticationFilter.class)

Реализовано с помощью spring-boot-starter-parent и зависимостей в версии 2.2.7.RELEASE:

• Spring-Boot-Starter-Web
• весна-загрузки-стартер-безопасность
• весна-загрузка-стартер-oauth2-клиент

Я ценю мнения об этом обходном пути, так как я все еще не уверен, действительно ли нужны такие накладные расходы в Spring Boot.