Grails: Zabezpieczanie interfejsu API REST za pomocą protokołu OAuth2.0

Question

Buduję interfejs REST API za pomocą Grails. Chcę, aby był on chroniony przy użyciu przepływu OAuth2.0 client_credentials (grant_type). My use-case jest następujący:

czynnik zewnętrzny wyśle ​​żądanie do czegoś jak

http://server-url/oauth/token?client_id=clientId&client_secret=clientSecret&grant_type=client_credentials 

i uzyskać access_token. Wtedy mój adres URL (chroniony zasobów) powinny być dostepne z czymś jak

http://server-url/resource?access_token={access-token obtained before} 

szukam czegoś, co sprawia, że ​​robi to na Grails proste i szybkie. Jaki będzie najlepszy sposób/narzędzie/plugin do tego? Biblioteka Scribe jest opcją, jeśli istnieją jakieś tutoriale dla mojego konkretnego przypadku użycia, będzie świetnie.

P.S .: Próbowałem wiosennego zabezpieczenia i powiązanych wtyczek, bez radości. Wszelkie alternatywy byłyby miłe.

Answer 1

Na podstawie moich doświadczeń, Scribe został stworzony dla OAuth 1.0 i ma bardzo ograniczone wsparcie dla OAuth 2.0. W rzeczywistości, do testowania naszej własnej implementacji OAuth 2, wszystko, co mogliśmy wykorzystać, było opakowaniem żądania HTTP, musieliśmy zrobić cokolwiek innego ręcznie. Na szczęście zrobienie tego ręcznie jest zaskakująco łatwe.

Ponieważ wciąż nie znalazłem dobrze otwartej biblioteki OAuth 2.0 dla Javy (szczerze mówiąc, nie znam Groovy'ego), zachęcam do napisania kodu klienta dla siebie. Nie potrzebujesz nawet punktu końcowego oddzwaniającego klienta, aby użyć przepływu przydziału poświadczeń klienta. Więc po prostu stwórz żądanie HTTP (jak już pisałeś powyżej, uważaj, aby uniknąć parametrów GET) i uzyskaj zawartość odpowiedzi. Twój przepływ nie używa przekierowań, więc po prostu przeanalizuj obiekt JSON w treści odpowiedzi, np. z biblioteką org.json. Na koniec wyślij żądanie HTTP przy użyciu wyodrębnionego tokenu dostępu.

Pamiętaj, że Twoje przykłady nie są całkowicie zgodne ze standardem. Standard wymaga użycia HTTPS, wysłania tokenu w nagłówku HTTP zamiast parametru GET i sugeruje użycie nagłówka podstawowego autoryzacji HTTP zamiast parametrów GET do określenia poświadczeń klienta.

Mogłem źle zrozumieć twoje pytanie i możesz chcieć zaimplementować stronę serwera. Biblioteka skryptów obsługuje tylko stronę klienta, więc można znaleźć komercyjną implementację lub wdrożyć własny serwer. Jest to złożone zadanie, ale jeśli obsługujesz tylko przepływ danych poświadczeń klienta, staje się prawie łatwe. ;-)

Answer 2

Mam ten sam problem. Znalazłem wiele wtyczek grails, które pomogły ci uwierzytelnić twoją aplikację w stosunku do innych dostawców oauth, ale nic, co pomogłoby mi uczynić moją aplikację dostawcą oauth. Po wielu kopaniu natknąłem się na tę wtyczkę grails, która zrobi dokładnie to, co chcesz.

https://github.com/adaptivecomputing/grails-spring-security-oauth2-provider

ja wciąż konfigurowania go do mojego wniosku i myślę docs może potrzebować kilku edycji (konkretnie przepływu kod_autoryz) ale mam proste client_credentials płynąć do pracy przy minimalnej konfiguracji. Mam nadzieję, że pomaga!

Answer 3

To nie jest wtyczka, to tylko przykładowa aplikacja Grails, która działa jako dostawca OAuth. To było naprawdę łatwo dostać się i działa z Grails 3.

https://github.com/bobbywarner/grails3-oauth2-api