Comment on peut utiliser d'autres fournisseurs oauth2 comme FB, Google dans un système d'authentification jwt existant

Question

Je suis nouveau pour le démarrage de printemps et essayer d'implémenter le client oauth2 avec facebook comme fournisseur oauth2. J'ai déjà une authentification de jeton JWT traditionnelle en place qui est configurée avec @EnableWebSecurity avec le gestionnaire d'authentification par défaut et le générateur de jetons custome JWT.

• est-il vraiment nécessaire de configurer AuthorizationServer et ResourceServer dans scénario ci-dessus?
• sinon pourquoi mon code me renvoie toujours seulement le code et l'état de facebook pour rappeler l'URL.

S'il vous plaît un coup d'oeil dans le code here

Answer 1

oauth2 = protocole de délégation d'autorisation PAS une d'authentification unique.

Si vous souhaitez utiliser FaceBook et Google comme fournisseur d'identité, vous devez utiliser un protocole de fédération d'identité, c'est-à-dire OpenId Connect (OIDC). Ce dernier ajoute une couche d'authentification (utilisant le jeton d'identification JWT) au-dessus de la couche d'autorisation oauth2. En ce qui concerne plus spécifiquement votre question (qui n'est pas très claire) sur la configuration de la sécurité de printemps, il semble que l'implémentation actuelle du serveur oauth2 (AuthorizationServer et ResourceServer dont vous parlez fait partie) is not suitable as it is pour implémenter un OIDC En ce qui concerne le code et l'état retournés à l'URL de rappel, cela fait partie du oauth2 authorization code flow et c'est tout à fait normal, vous devez ensuite échanger le code récupéré contre un jeton d'accès en utilisant le point de terminaison du serveur d'autorisation.

(l'état est juste ici pour permettre de transmettre une information par exemple un identifiant de locataire, à travers le flux entier oauth2).

Here est vraiment bien écrit l'article de vulgarisation oauth2.