如何在具有 Spring 安全性的 Spring 启动应用程序中配置 RSocket 安全性

Question

RSocket 似乎是 HTTP/S 微服务间通信的一个很好的替代品。幸运的是 Spring Boot 已经顺利集成，简化了它的配置。

但是，我在 RSocket 和 Spring（引导、安全）文档中都缺少与 RSocket 安全相关的所有信息。

我的问题是：

1) 我们如何配置 RSocket 以使用 TLS（在 Spring 引导应用程序的上下文中）？

2) Spring 安全性是否为 RSocket 安全性添加了任何附加功能？我想到的事情是，假设我们想要将 JWT 令牌从一个应用程序传播到另一个应用程序，它如何通过 RSocket 传递和验证？

Answer 1

我最近写了一篇 post 关于如何通过 RSocket 使用 Spring 安全基本身份验证的文章。对于您的第一个问题，您可以在连接到 RSocketServer 时使用 TcpClientTransport.create(TcpClient.create().port(7000).secure())。

RSocketRequester.builder()
                .dataMimeType(MimeTypeUtils.APPLICATION_JSON)
                .rsocketStrategies(rSocketStrategies)
                .rsocketFactory(clientRSocketFactory -> {
                    clientRSocketFactory.frameDecoder(PayloadDecoder.ZERO_COPY);
                })
                .setupMetadata(credentials, UsernamePasswordMetadata.BASIC_AUTHENTICATION_MIME_TYPE)
                .connect(TcpClientTransport.create(TcpClient.create().port(7000).secure()))
                .block();

对于第二个问题，当访问 RSocket 消息端点时，您可以使用

        BearerTokenMetadata credentials = new BearerTokenMetadata("jwt-token");
        return rSocketRequester
                .route("taxis")
                .metadata(credentials, BearerTokenMetadata.BEARER_AUTHENTICATION_MIME_TYPE)
                .data(new TaxisRequest(type, from, to))
                .retrieveMono(TaxisResponse.class);

并且在 PayloadSocketAcceptorInterceptor 的 RSocketServer 设置期间，您可以使用 jwt，如下所示。

    @Bean
    public PayloadSocketAcceptorInterceptor rsocketInterceptor(RSocketSecurity rsocket) {
        rsocket.authorizePayload(authorize -> {
            authorize
                    // must have ROLE_SETUP to make connection
                    .setup().hasRole("SETUP")
                    // must have ROLE_ADMIN for routes starting with "taxis."
                    .route("taxis*").hasRole("ADMIN")
                    // any other request must be authenticated for
                    .anyRequest().authenticated();
            })
            .jwt(Customizer.withDefaults());

            return rsocket.build();
        }

如何在具有 Spring 安全性的 Spring 启动应用程序中配置 RSocket 安全性

How to configure RSocket security in a Spring Boot application with Spring Security

spring-security

spring-boot

rsocket