Grails: Sichern der REST-API mit OAuth2.0

Question

Ich baue eine REST-API mit Grails. Ich möchte, dass es mit OAuth2.0 client_credentials flow (grant_type) geschützt wird. Meine Use-Case ist wie folgt:

ein EDL eine access_token eine Anfrage an so etwas wie

http://server-url/oauth/token?client_id=clientId&client_secret=clientSecret&grant_type=client_credentials 

und erhalten senden. Dann meine URL (geschützte Ressource) sollte erreichbar sein, mit so etwas wie

http://server-url/resource?access_token={access-token obtained before} 

Ich suche nach etwas, das tut dies auf Grails einfach und schnell macht. Was wird der beste Weg/Tool/Plugin dafür sein? Scribe-Bibliothek ist eine Option, wenn es Tutorials für meinen speziellen Anwendungsfall gibt, wird es großartig.

P.S .: Ich habe die Feder-Sicherheit und verwandte Plugins ausprobiert, keine Freude dort. Jede Alternative wäre nett.

Answer 1

Basierend auf meinen Erfahrungen wurde Scribe für OAuth 1.0 erstellt und hat nur sehr eingeschränkte Unterstützung für OAuth 2.0. Um unsere eigene OAuth 2-Implementierung zu testen, konnten wir nur einen HTTP-Request-Wrapper verwenden, wir mussten alles andere manuell erledigen. Glücklicherweise ist es überraschend einfach, dies manuell zu tun.

Da ich immer noch keine gute offene OAuth 2.0-Bibliothek für Java gefunden habe (ehrlich gesagt, ich bin nicht vertraut mit Groovy), ermutige ich Sie, den Client-Code für sich selbst zu schreiben. Sie benötigen nicht einmal einen Client-Callback-Endpunkt, um den Client-Berechtigungsnachweis-Ablauf zu verwenden. Sie erstellen also einfach eine HTTP-Anfrage (wie Sie bereits oben beschrieben haben, achten Sie darauf, die GET-Parameter zu umgehen) und erhalten den Inhalt der Antwort. Ihr Flow verwendet keine Weiterleitungen. Analysieren Sie einfach das JSON-Objekt im Antwortinhalt, z. mit der org.json-Bibliothek. Abschließend senden Sie eine HTTP-Anforderung mit dem extrahierten Zugriffstoken.

Beachten Sie, dass Ihre Beispiele nicht vollständig standardkonform sind. Der Standard erfordert die Verwendung von HTTPS, das Senden des Tokens in einem HTTP-Header anstelle eines GET-Parameters und schlägt vor, einen HTTP-Basisauthentifizierungsheader anstelle von GET-Parametern zu verwenden, um Clientanmeldeinformationen anzugeben.

Ich habe Ihre Frage möglicherweise missverstanden, und Sie möchten vielleicht auch die Serverseite implementieren. Die Scribe-Bibliothek unterstützt nur die Client-Seite, sodass Sie eine kommerzielle Implementierung finden oder Ihren eigenen Server implementieren können. Es ist eine komplexe Aufgabe, aber wenn Sie nur den Client-Berechtigungsfluss unterstützen, wird es fast einfach. ;-)

Answer 2

Ich habe das gleiche Problem. Ich habe eine Menge Grails-Plugins gefunden, die dir geholfen haben, deine App gegen andere OAuth-Provider zu authentifizieren, aber nichts, was mir helfen würde, meine App zum OAuth-Provider zu machen. Nach vielen Grabungen stieß ich auf dieses Grails-Plugin, das genau das macht, was Sie wollen.

https://github.com/adaptivecomputing/grails-spring-security-oauth2-provider

Ich Konfiguration noch es für meine Anwendung, und ich denke, die docs einige Änderungen benötigen könnte (insbesondere die authorization_code Flow), aber ich habe die einfachen client_credentials mit minimaler Konfiguration arbeiten fließen. Ich hoffe, das hilft!

Answer 3

Dies ist kein Plugin, es ist nur eine Grailles-Beispielanwendung, die als OAuth-Provider fungiert. Es war wirklich einfach aufstehen und laufen mit Grails 3.

https://github.com/bobbywarner/grails3-oauth2-api