Spring Boot keycloak и базовая аутентификация вместе в одном проекте

Объяснение проблемы

Проблема в том, что KeycloakAuthenticationProcessingFilter.java перехватывает каждый запрос с заголовком авторизации HTTP. Если ваш запрос не аутентифицирован с помощью Keycloak (даже если вы аутентифицированы с помощью любого другого поставщика аутентификации! - в вашем случае с базовой аутентификацией), вы всегда будете перенаправлены на страницу входа в Keycloak (в вашем case) или получите 401 Unauthorized (если ваш клиент Keycloak в keycloak.json настроен только на носитель).

По умолчанию KeycloakAuthenticationProcessingFilter.java вызывается, если запрос соответствует KeycloakAuthenticationProcessingFilter.DEFAULT_REQUEST_MATCHER:

public static final RequestMatcher DEFAULT_REQUEST_MATCHER =
    new OrRequestMatcher(
            new AntPathRequestMatcher(DEFAULT_LOGIN_URL),
            new RequestHeaderRequestMatcher(AUTHORIZATION_HEADER),
            new QueryParamPresenceRequestMatcher(OAuth2Constants.ACCESS_TOKEN)
    );

Это означает, что любой запрос, соответствующий DEFAULT_LOGIN_URL (/ sso / login) OR, содержит HTTP-заголовок авторизации (в вашем случае) OR имеет access_token в качестве параметра запроса будет обрабатываться KeycloakAuthenticationProcessingFilter.java.

Вот почему вы должны заменить RequestHeaderRequestMatcher(AUTHORIZATION_HEADER) своей собственной реализацией, которая будет пропускать вызов KeycloakAuthenticationProcessingFilter.java, когда запрос аутентифицируется с помощью базовой аутентификации.

Решение

Ниже представлено полное решение, которое позволяет одновременно использовать как обычную проверку подлинности, так и проверку подлинности Keycloak на одних и тех же путях. Обратите особое внимание на реализацию IgnoreKeycloakProcessingFilterRequestMatcher, которая заменяет стандартный RequestHeaderRequestMatcher. Этот сопоставитель будет соответствовать только запросам, содержащим HTTP-заголовок авторизации, значение которого не имеет префикса "Basic ".

В приведенном ниже примере пользователь с ролью TESTER может получить доступ к /download/export/test, в то время как все остальные пути доступны пользователям с ролями ADMIN или SUPER_ADMIN (которые, как я предполагаю, в вашем случае, являются учетными записями на сервере Keycloak).

@KeycloakConfiguration
public class MultiHttpSecurityConfig extends KeycloakWebSecurityConfigurerAdapter {

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("tester")
                .password("testerPassword")
                .roles("TESTER");
        auth.authenticationProvider(keycloakAuthenticationProvider());
    }

    @Bean
    @Override
    protected KeycloakAuthenticationProcessingFilter keycloakAuthenticationProcessingFilter() throws Exception {
        RequestMatcher requestMatcher =
                new OrRequestMatcher(
                        new AntPathRequestMatcher(DEFAULT_LOGIN_URL),
                        new QueryParamPresenceRequestMatcher(OAuth2Constants.ACCESS_TOKEN),
                        // We're providing our own authorization header matcher
                        new IgnoreKeycloakProcessingFilterRequestMatcher()
                );
        return new KeycloakAuthenticationProcessingFilter(authenticationManagerBean(), requestMatcher);
    }

    // Matches request with Authorization header which value doesn't start with "Basic " prefix
    private class IgnoreKeycloakProcessingFilterRequestMatcher implements RequestMatcher {
        IgnoreKeycloakProcessingFilterRequestMatcher() {
        }

        public boolean matches(HttpServletRequest request) {
            String authorizationHeaderValue = request.getHeader("Authorization");
            return authorizationHeaderValue != null && !authorizationHeaderValue.startsWith("Basic ");
        }
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        super.configure(http);
        http.authorizeRequests()
                .antMatchers("/download/export/test")
                .hasRole("TESTER")
                .anyRequest()
                .hasAnyRole("ADMIN", "SUPER_ADMIN")
                .and()
                .httpBasic();
    }

    @Bean
    @Override
    protected SessionAuthenticationStrategy sessionAuthenticationStrategy() {
        return new RegisterSessionAuthenticationStrategy(new SessionRegistryImpl());
    }
}

Я решил это, настроив исключение в KeycloakAuthenticationProcessingFilter для пути:

...
@Configuration
@Order(2)
static class KeyCloakSecurityConfig extends KeycloakWebSecurityConfigurerAdapter {

@Bean
public KeycloakAuthenticationProcessingFilter keycloakAuthenticationProcessingFilter() throws Exception {
    KeycloakAuthenticationProcessingFilter filter = new KeycloakAuthenticationProcessingFilter(
            authenticationManagerBean()
            , new AndRequestMatcher(
               KeycloakAuthenticationProcessingFilter.DEFAULT_REQUEST_MATCHER,
               new NegatedRequestMatcher(new AntPathRequestMatcher(YOUR_BASIC_AUTHD_PATH))));
    filter.setSessionAuthenticationStrategy(sessionAuthenticationStrategy());
    return filter;
}