如何从 OAuth2 授权服务器/用户端点获取自定义用户信息

我有一个资源服务器配置为@EnableResourceServer注释，它通过以下方式引用授权服务器user-info-uri参数如下：

security:
  oauth2:
    resource:
      user-info-uri: http://localhost:9001/user

授权服务器/用户端点返回扩展名org.springframework.security.core.userdetails.User其中有例如一封电邮：

{  
   "password":null,
   "username":"myuser",
    ...
   "email":"[email protected] /cdn-cgi/l/email-protection"
}

每当访问某个资源服务器端点时，Spring都会通过调用授权服务器的/user端点，它实际上返回了丰富的用户信息（其中包含例如电子邮件信息，我已经使用 Wireshark 验证了这一点）。

所以问题是如何在不显式第二次调用授权服务器的情况下获取此自定义用户信息/user端点。 Spring 是否在授权后将其存储在资源服务器本地的某个位置，或者如果没有现成可用的内容，那么实现这种用户信息存储的最佳方法是什么？

解决方案是实施自定义UserInfoTokenServices

https://github.com/spring-projects/spring-boot/blob/master/spring-boot-autoconfigure/src/main/java/org/springframework/boot/autoconfigure/security/oauth2/resource/UserInfoTokenServices.java https://github.com/spring-projects/spring-boot/blob/master/spring-boot-autoconfigure/src/main/java/org/springframework/boot/autoconfigure/security/oauth2/resource/UserInfoTokenServices.java

只需将您的自定义实现作为 Bean 提供，它将被用来代替默认的实现。

在此 UserInfoTokenServices 内，您可以构建principal就像你想要的那样。

此 UserInfoTokenServices 用于从响应中提取 UserDetails/users您的授权服务器的端点。正如你所看到的

private Object getPrincipal(Map<String, Object> map) {
    for (String key : PRINCIPAL_KEYS) {
        if (map.containsKey(key)) {
            return map.get(key);
        }
    }
    return "unknown";
}

仅指定的属性PRINCIPAL_KEYS默认情况下会提取。这正是你的问题。您必须提取的不仅仅是用户名或您的财产的名称。所以寻找更多的钥匙。

private Object getPrincipal(Map<String, Object> map) {
    MyUserDetails myUserDetails = new myUserDetails();
    for (String key : PRINCIPAL_KEYS) {
        if (map.containsKey(key)) {
            myUserDetails.setUserName(map.get(key));
        }
    }
    if( map.containsKey("email") {
        myUserDetails.setEmail(map.get("email"));
    }
    //and so on..
    return myUserDetails;
}

Wiring:

@Autowired
private ResourceServerProperties sso;

@Bean
public ResourceServerTokenServices myUserInfoTokenServices() {
    return new MyUserInfoTokenServices(sso.getUserInfoUri(), sso.getClientId());
}

!!使用 Spring Boot 1.4 更新事情变得更容易！

使用 Spring Boot 1.4.0主要提取器 http://docs.spring.io/spring-boot/docs/current-SNAPSHOT/api/org/springframework/boot/autoconfigure/security/oauth2/resource/PrincipalExtractor.html被介绍了。应该实现此类来提取自定义主体（请参阅Spring Boot 1.4 发行说明 https://github.com/spring-projects/spring-boot/wiki/Spring-Boot-1.4-Release-Notes#principalextractor).