Spring Security 5.0.0 M4 发布
我代表社区很高兴地宣布 Spring Security 5.0.0 M4 的发布。此版本包含错误修复、新功能，并基于 Spring Framework 5.0.0 RC4。您可以在变更日志中找到完整详情。此版本的亮点包括：
OAuth2 / OIDC
OAuth2 登录 Java 配置
对HttpSecurity.oauth2Login() DSL 做了一些改进。
现在可以使用AuthorizationGrantTokenExchanger或SecurityTokenRepository<AccessToken>的自定义实现来配置*令牌端点*，如下所示：
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.anyRequest().authenticated()
.and()
.oauth2Login()
.tokenEndpoint()
.authorizationCodeTokenExchanger(this.authorizationCodeTokenExchanger())
.accessTokenRepository(this.accessTokenRepository());
}我们还添加了自定义*授权端点*和*重定向端点*请求路径的功能。
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.anyRequest().authenticated()
.and()
.oauth2Login()
.authorizationEndpoint()
.requestMatcher(new AntPathRequestMatcher("/custom-path/{clientAlias}"))
.and()
.redirectionEndpoint()
.requestMatcher(new AntPathRequestMatcher("/custom-path/callback/{clientAlias}"));
}与 Spring Security 中的所有AbstractAuthenticationProcessingFilter一样，您还可以设置自定义AuthenticationSuccessHandler和AuthenticationFailureHandler。
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.anyRequest().authenticated()
.and()
.oauth2Login()
.successHandler(this.customAuthenticationSuccessHandler())
.failureHandler(this.customAuthenticationFailureHandler());
}安全令牌存储库
我们引入了SecurityTokenRepository<T extends SecurityToken>抽象，它负责SecurityToken的持久化。
初始实现InMemoryAccessTokenRepository提供AccessToken的持久化。在即将发布的版本中，我们还将提供一个支持*刷新令牌*持久化的实现。
ID 令牌和声明
对IdToken做了一些小的改进，并为JwtClaimAccessor、StandardClaimAccessor和IdTokenClaimAccessor提供了一些最终的实现细节，这些细节提供了对其关联结构（例如Jwt、IdToken、UserInfo）中claims的便捷访问。
授权请求改进
我们添加了AuthorizationRequestRepository将*授权请求*持久化到Cookie中的功能。当前的默认实现持久化到HttpSession中，但是，可以提供自定义实现来改为持久化到Cookie中。
还为AuthorizationCodeRequestRedirectFilter中配置的redirect-uri添加了对URI变量的支持。
OAuth2 客户端属性
对配置 OAuth 2.0 客户端的属性进行了一些小的更新。下面的配置概述了当前的结构。您会注意到，它支持配置多个客户端，例如 google、github、okta 等。
security:
oauth2:
client:
google:
client-id: your-app-client-id
client-secret: your-app-client-secret
client-authentication-method: basic
authorization-grant-type: authorization_code
redirect-uri: "{scheme}://{serverName}:{serverPort}{contextPath}/oauth2/authorize/code/{clientAlias}"
scope: openid, profile, email, address, phone
authorization-uri: "https://accounts.google.com/o/oauth2/v2/auth"
token-uri: "https://www.googleapis.com/oauth2/v4/token"
user-info-uri: "https://www.googleapis.com/oauth2/v3/userinfo"
user-name-attribute-name: "sub"
jwk-set-uri: "https://www.googleapis.com/oauth2/v3/certs"
client-name: Google
client-alias: google
github:
...
okta:
...在 Spring Security 示例oauth2login中可以找到使用新的 Spring Security OAuth 2.0 / OpenID Connect 1.0 登录功能的完整示例。该指南将引导您完成使用外部 OAuth 2.0 或 OpenID Connect 1.0 提供程序设置 OAuth 2.0 登录示例应用程序的步骤。
响应式安全
响应式方法安全
Spring Security 的响应式支持现在通过利用 Reactor 的 Context 包含方法安全。亮点如下所示，但您可以在samples/javaconfig/hellowebflux-method中找到一个完整的实际示例。
第一步是使用@EnableReactiveMethodSecurity启用对@PreAuthorize和@PostAuthorize注解的支持。此步骤确保对象被正确代理。
@EnableWebFluxSecurity
@EnableReactiveMethodSecurity
public class SecurityConfig {下一步是创建一个用@PreAuthorize或@PostAuthorize注解的服务。例如：
@PreAuthorize("hasRole('ADMIN')")
public Mono<String> findMessage() {然后，Spring Security 的 WebFlux 支持将确保 Reactor Context 将填充当前用户，该用户用于确定是否授予或拒绝访问。
Spring Security 的标准@WithMockUser和相关注解已更新为可与响应式方法安全一起使用。例如：
@RunWith(SpringRunner.class) // ... public class HelloWorldMessageServiceTests { @Autowired HelloWorldMessageService messages;@Test public void messagesWhenNotAuthenticatedThenDenied() { StepVerifier.create(this.messages.findMessage()) .expectError(AccessDeniedException.class) .verify(); }
@Test @WithMockUser public void messagesWhenUserThenDenied() { StepVerifier.create(this.messages.findMessage()) .expectError(AccessDeniedException.class) .verify(); }
@Test @WithMockUser(roles = "ADMIN") public void messagesWhenAdminThenOk() { StepVerifier.create(this.messages.findMessage()) .expectNext("Hello World!") .verifyComplete(); } }
测试支持也与TestWebClient很好地配合使用。例如：
@RunWith(SpringRunner.class)
// ...
public class HelloWebfluxMethodApplicationTests {
@Autowired
ApplicationContext context;
WebTestClient rest;
@Before
public void setup() {
this.rest…
