。

例如#xff0c;你可能支持一个以上的租户#xff0c;其中一个租户发出JWT#xff0c;另一个发出

opaque

在某些情况下你可能需要访问两种令牌。

例如你可能支持一个以上的租户其中一个租户发出JWT另一个发出

opaque

AuthenticationManagerResolverHttpServletRequest

tokenAuthenticationManagerResolver(JwtDecoder

jwtDecoder,

JwtAuthenticationProvider(jwtDecoder));AuthenticationManager

opaqueToken

OpaqueTokenAuthenticationProvider(opaqueTokenIntrospector));return

(request)

http.authorizeHttpRequests(authorize

authorize.anyRequest().authenticated()).oauth2ResourceServer(oauth2

oauth2.authenticationManagerResolver(this.tokenAuthenticationManagerResolver));

二、多租户

的策略时一个资源服务器被认为是多租户的其关键是一些租户标识符。

bearer

JwtIssuerAuthenticationManagerResolver

Multi-tenancy

JwtIssuerAuthenticationManagerResolver

new

JwtIssuerAuthenticationManagerResolver(https://idp.example.org/issuerOne,

https://idp.example.org/issuerTwo);http.authorizeHttpRequests(authorize

authorize.anyRequest().authenticated()).oauth2ResourceServer(oauth2

oauth2.authenticationManagerResolver(authenticationManagerResolver));

只有在发送第一个请求的时候才会被实例化。

这使得应用程序的启动与这些授权服务器的启动和可用性无关。

2.1、动态租户

当然你可能不想在每次添加新租户时都重启应用程序。

在这种情况下你可以用一个

实例库来配置

JwtIssuerAuthenticationManagerResolver你可以在运行时编辑它就像这样。

Java

JwtAuthenticationProvider(JwtDecoders.fromIssuerLocation(issuer));authenticationManagers.put(issuer,

authenticationProvider::authenticate);

}//

...JwtIssuerAuthenticationManagerResolver

new

JwtIssuerAuthenticationManagerResolver(authenticationManagers::get);http.authorizeHttpRequests(authorize

authorize.anyRequest().authenticated()).oauth2ResourceServer(oauth2

oauth2.authenticationManagerResolver(authenticationManagerResolver));

在这种情况下你构建

JwtIssuerAuthenticationManagerResolver其策略是获取给定发行者的

AuthenticationManager。

这种方法允许我们在运行时从资源库在片段中显示为

简单地采用任何发行者并从中构建一个

是不安全的。

发行者应该是代码可以从可信的来源如允许的发行者列表中验证的。

2.2

JWTClaimsSetAwareJWSKeySelector

直接配置

JWTClaimsSetAwareJWSKeySelectorSecurityContext

{private

TenantJWSKeySelector(TenantRepository

tenants)

this.selectors.computeIfAbsent(toTenant(jwtClaimsSet),

this::fromTenant).selectJWSKeys(jwsHeader,

String

claimSet.getClaim(iss);}private

fromTenant(String

Optional.ofNullable(this.tenants.findById(tenant))

.map(t

t.getAttrbute(jwks_uri)).map(this::fromUri).orElseThrow(()

new

IllegalArgumentException(unknown

tenant));}private

JWSAlgorithmFamilyJWSKeySelector.fromJWKSetURL(new

URL(uri));

IllegalArgumentException(ex);}}

JWSKeySelector

jwtProcessor(JWTClaimSetJWSKeySelector

keySelector)

{ConfigurableJWTProcessorSecurityContext

jwtProcessor

DefaultJWTProcessor();jwtProcessor.setJWTClaimSetJWSKeySelector(keySelector);return

jwtProcessor;

正如你已经看到的将租户意识下移到这个层次的代价是更多的配置。

我们只是多了一点。

接下来我们仍然要确保你正在验证

TenantJwtIssuerValidator(TenantRepository

tenants)

this.validators.computeIfAbsent(toTenant(token),

this::fromTenant).validate(token);}private

String

Optional.ofNullable(this.tenants.findById(tenant)).map(t

t.getAttribute(issuer)).map(JwtIssuerValidator::new).orElseThrow(()

new

IllegalArgumentException(unknown

tenant));}

现在我们有了一个租户识别处理器和一个租户识别验证器我们可以继续创建我们的

Java

NimbusJwtDecoder(processor);OAuth2TokenValidatorJwt

validator

DelegatingOAuth2TokenValidator(JwtValidators.createDefault(),

jwtValidator);decoder.setJwtValidator(validator);return

decoder;

如果你选择通过JWT请求以外的方式来解析租户那么你需要确保你以同样的方式来解决你的下游资源服务器。

例如如果你是通过子域进行解析你可能需要使用相同的子域来解决下游资源服务器。