Je suis passé par ce tutoriel qui montre comment sécuriser une application à page unique à l'aide de plusieurs scénarios allant du plus simple à notre propre serveur d'autorisation qui délègue l'authentification à un fournisseur. Le premier scénario utilise le Code d'autorisation Subvention pour connecter l'utilisateur.
Supposons que nous remplacions le serveur OAuth de Facebook par le nôtre dans ce cas et que nous le configurions pour qu'il renvoie un jeton JWT.
Quel flux OAuth le SPA doit-il utiliser s'il veut utiliser le jeton JWT pour sécuriser les demandes par le biais d'un serveur périphérique qui équilibre la charge entre les serveurs de ressources ?
De plus, comment configurer spring boot / spring security si nous voulons utiliser le jeton JWT pour remplacer le support par défaut de JSESSION et CSRF dans spring ? Il est évident que le jeton JWT peut être utilisé pour remplacer ces deux fonctionnalités.
Mise à jour
D'après la réponse de Manish, en supposant que nous utilisons le flux implicite OAuth 2, nous.. :
- Placez l'annotation @EnableResourceServer sur le serveur de ressources.
- Utiliser un client OpenID Connect pour mettre en œuvre le flux d'implicite
Une fois que cela est fait, les requêtes POST sont-elles sécurisées en supposant que chaque requête inclut le jeton JWT en tant que Bearer Header, ou devons-nous également configurer CSRF ?
