Estoy usando SpringBoot 3.3.3 , Spring Security 6.x y Auth0
Tengo un problema al momento de registrar las autoridades en el SpringContext.
Datos a tener en cuenta : El token es correcto , verificado con jwt.io y contiene este claim dentro del payload :
"https://api.EJEMPLO.com/roles": [
"ROLE_ADMIN",
"ROLE_CLIENT"
],
Las Cors están correctamente configuradas ya que la solicitud llega al backend y se avanza parte del proceso.
el AudienceValidator confirma que el token es correcto con el siguiente log :
DEBUG [http-nio-8080-exec-1] o.s.s.o.s.r.a.JwtAuthenticationProvider - Authenticated token DEBUG [http-nio-8080-exec-1] o.s.s.o.s.r.w.a.BearerTokenAuthenticationFilter - Set SecurityContextHolder to JwtAuthenticationToken [Principal=org.springframework.security.oauth2.jwt.Jwt@68f543c9, Credentials=[PROTECTED], Authenticated=true, Details=WebAuthenticationDetails [RemoteIpAddress=0:0:0:0:0:0:0:1, SessionId=null], Granted Authorities=[]]
como se puede ver Granted Authorities=[]
está vacío
pero los roles llegan correctamente al backend
este es uno de los logs que me salen
https://api.EJEMPLO.com/roles=[ROLE_ADMIN, ROLE_CLIENT]
como se puede ver ya no está en formato JSON , sino que está como Objeto si no me falla el término
pero en el front me sigue saliendo error 403 (forbidden).
estoy hace 4 días con este error y no me permite avanzar , si se necesita mas código o contexto puedo proveerlo , espero puedan ayudarme.
PD: es la primera vez que publico una pregunta en esta red.
el token llega correctamente desde el front al backend con los siguientes headers
headers: {
'Content-Type': 'application/json',
'Authorization': `Bearer ${idToken}`,
},
Mi SecurityConfig se vé de la siguiente manera
@Bean
public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
http
.csrf(csrf -> csrf.disable())
.cors(withDefaults())
.authorizeHttpRequests(authorizeRequests ->
authorizeRequests
.requestMatchers("/", "/images/**").permitAll()
.requestMatchers(HttpMethod.GET, "/products/**").hasAuthority("CLIENT")
.requestMatchers("/admin/**").hasAuthority("ADMIN")
.requestMatchers(HttpMethod.POST, "/admin/**").hasAuthority("ADMIN")
.anyRequest().authenticated()
)
.oauth2ResourceServer(oauth2ResourceServer ->
oauth2ResourceServer
.jwt(jwt ->
jwt
.decoder(jwtDecoder())
.jwtAuthenticationConverter(jwtAuthenticationConverter())
)
);
return http.build();
}
Mi decoder:
@Bean
JwtDecoder jwtDecoder() {
NimbusJwtDecoder jwtDecoder = JwtDecoders.fromOidcIssuerLocation(issuer);
OAuth2TokenValidator<Jwt> audienceValidator = new AudienceValidator(audience);
OAuth2TokenValidator<Jwt> withIssuer = JwtValidators.createDefaultWithIssuer(issuer);
OAuth2TokenValidator<Jwt> withAudience = new DelegatingOAuth2TokenValidator<>(withIssuer, audienceValidator);
jwtDecoder.setJwtValidator(withAudience);
return jwtDecoder;
}
y mi authentication converter (que es donde creo que está el problema)
@Bean
JwtAuthenticationConverter jwtAuthenticationConverter() {
JwtGrantedAuthoritiesConverter converter = new JwtGrantedAuthoritiesConverter();
converter.setAuthoritiesClaimName("https://api.EJEMPLO.com/roles");
converter.setAuthorityPrefix("ROLE_");
JwtAuthenticationConverter jwtConverter = new JwtAuthenticationConverter();
jwtConverter.setJwtGrantedAuthoritiesConverter(converter);
return jwtConverter;
}