在閱讀本文之前，請確保您已經讀過了這篇文章：[給 SAP BTP 平臺上的 Java 應用增添使用者登入和認證機制]()

使用 App Router 進行身份驗證後，您的 java 後端服務仍然在 Web 中完全可見且不受保護。 因此，您還需要保護您的 Java 微服務，以便它們僅接受當前使用者具有有效 JWT 的請求。 此外，您將以處理授權的方式設定微服務，即理解我們之前使用 xs-security.json 檔案配置的 JWT 的 OAuth 範圍。

在下文中，您將使用 SAP CP Spring XSUAA 安全庫的安全功能來保護微服務。

在您的應用程式 pom.xml 中，確儲存在以下依賴項：

```xml
<dependency>
    <groupid>com.sap.cloud.security.xsuaa</groupid>
    <artifactid>xsuaa-spring-boot-starter</artifactid>
</dependency>
```

這為 Spring 提供了 XSUAA 庫的必要功能。在設定 SecurityConfiguration 時利用它們：

```java
@Configuration
@EnableWebSecurity(debug = true) // TODO "debug" may include sensitive information. Do not use in a production system!
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true, jsr250Enabled = true)
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

@Autowired
    XsuaaServiceConfiguration xsuaaServiceConfiguration;

@Override
    protected void configure(HttpSecurity http) throws Exception {
        http
                .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS) // session is created by approuter
                .and()
                .authorizeRequests()
                .antMatchers("/*").authenticated()
                .antMatchers("/*").hasAuthority("Display")
                .anyRequest().denyAll()
                .and()
                .oauth2ResourceServer()
                .jwt()
                .jwtAuthenticationConverter(getJwtAuthenticationConverter());
    }

/**
     * Customizes how GrantedAuthority are derived from a Jwt
     */
    Converter<jwt abstractauthenticationtoken=""> getJwtAuthenticationConverter() {
        return new TokenAuthenticationConverter(xsuaaServiceConfiguration).setLocalScopeAsAuthorities(true);
    }
}
```

以上將需要透過 JWT 對您服務的所有端點進行身份驗證。此外，所有 JWT 都需要包含顯示範圍。

如果您現在呼叫應用程式的 /businesspartners 端點，您將看到 401 Unauthorized 狀態程式碼，因為您未獲得 App Router 的授權。 另一方面，透過您的應用路由器呼叫 /businesspartners 端點會給您一個 403 Forbidden 狀態程式碼，這意味著您沒有必要的授權來檢視此頁面。 這是意料之中的，因為您使用上面的註釋保護了端點，而沒有將請求的角色 Display 分配給您的使用者。

要重新獲得對受保護端點的訪問許可權，您需要分配 Display OAuth 範圍。這是使用 SAP BTP Cockpit 完成的。

首先，轉到您在 Cloud Foundry 上的帳戶，然後在安全模組下找到角色集合選單。

其次，建立一個新的角色集合，您可以為其指定任意名稱。 例如，Business Partner Manager.

![](https://img-blog.csdnimg.cn/img_convert/7e64f0ba4504f2d8589767791e7cdcc4.png)

然後，選擇角色集合業務合作伙伴經理，選擇編輯，然後新增一個新角色。從選單中，選擇您的應用程式以及相應的角色模板和角色。透過新增新建立的角色並儲存業務合作伙伴經理角色集合來完成該過程。
![](https://img-blog.csdnimg.cn/img_convert/9a1803cb1343ab9997bde38d6deb02ad.png)

之後，必須將使用者分配給新建立的 Business Partner Manager 才能接收顯示範圍。 為此，請從安全選單中選擇信任配置，然後從列表中選擇預設身份提供者。

在開啟的對話方塊中，在使用者欄位中輸入您的使用者 ID 作為電子郵件，然後單擊顯示分配，然後單擊新增分配。

從選單中選擇 Business Partner Manager 以將其分配給您的使用者。

![](https://img-blog.csdnimg.cn/img_convert/ec56436568e5349df4f0f79474712ef9.png)

之後，您將顯示 OAuth 範圍分配給您的使用者，這允許您再次訪問受保護的端點。

重新部署後，將不再可能直接訪問您的後端服務並導致以下訊息：

![](https://img-blog.csdnimg.cn/img_convert/56d58b09e96f900f097835b7a9ea05f0.png)

但仍然可以透過 app router 訪問：
![](https://img-blog.csdnimg.cn/img_convert/85e13efddbe01d57024ebccc5d9da744.png)</jwt>

如何給執行在 SAP BTP 上的 Java 微服務增添訪問控制功能

相關文章