1

Estoy usando SpringBoot 3.3.3 , Spring Security 6.x y Auth0

Tengo un problema al momento de registrar las autoridades en el SpringContext.

Datos a tener en cuenta : El token es correcto , verificado con jwt.io y contiene este claim dentro del payload :

"https://api.EJEMPLO.com/roles": [
    "ROLE_ADMIN",
    "ROLE_CLIENT"
  ],

Las Cors están correctamente configuradas ya que la solicitud llega al backend y se avanza parte del proceso.

el AudienceValidator confirma que el token es correcto con el siguiente log : DEBUG [http-nio-8080-exec-1] o.s.s.o.s.r.a.JwtAuthenticationProvider - Authenticated token DEBUG [http-nio-8080-exec-1] o.s.s.o.s.r.w.a.BearerTokenAuthenticationFilter - Set SecurityContextHolder to JwtAuthenticationToken [Principal=org.springframework.security.oauth2.jwt.Jwt@68f543c9, Credentials=[PROTECTED], Authenticated=true, Details=WebAuthenticationDetails [RemoteIpAddress=0:0:0:0:0:0:0:1, SessionId=null], Granted Authorities=[]] como se puede ver Granted Authorities=[] está vacío

pero los roles llegan correctamente al backend este es uno de los logs que me salen https://api.EJEMPLO.com/roles=[ROLE_ADMIN, ROLE_CLIENT] como se puede ver ya no está en formato JSON , sino que está como Objeto si no me falla el término

pero en el front me sigue saliendo error 403 (forbidden).

estoy hace 4 días con este error y no me permite avanzar , si se necesita mas código o contexto puedo proveerlo , espero puedan ayudarme.

PD: es la primera vez que publico una pregunta en esta red.

el token llega correctamente desde el front al backend con los siguientes headers

headers: {
            'Content-Type': 'application/json',
            'Authorization': `Bearer ${idToken}`,
          },

Mi SecurityConfig se vé de la siguiente manera

@Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                .csrf(csrf -> csrf.disable())
                .cors(withDefaults())
                .authorizeHttpRequests(authorizeRequests -> 
                    authorizeRequests
                            .requestMatchers("/", "/images/**").permitAll()
                            .requestMatchers(HttpMethod.GET, "/products/**").hasAuthority("CLIENT")
                            .requestMatchers("/admin/**").hasAuthority("ADMIN")
                            .requestMatchers(HttpMethod.POST, "/admin/**").hasAuthority("ADMIN")
                            .anyRequest().authenticated()
                )
                .oauth2ResourceServer(oauth2ResourceServer ->
                        oauth2ResourceServer
                                .jwt(jwt ->
                                        jwt
                                                .decoder(jwtDecoder())
                                                .jwtAuthenticationConverter(jwtAuthenticationConverter())
                                )
                );
        return http.build();
    }

Mi decoder:

@Bean
    JwtDecoder jwtDecoder() {
        NimbusJwtDecoder jwtDecoder = JwtDecoders.fromOidcIssuerLocation(issuer);

        OAuth2TokenValidator<Jwt> audienceValidator = new AudienceValidator(audience);
        OAuth2TokenValidator<Jwt> withIssuer = JwtValidators.createDefaultWithIssuer(issuer);
        OAuth2TokenValidator<Jwt> withAudience = new DelegatingOAuth2TokenValidator<>(withIssuer, audienceValidator);
        
        jwtDecoder.setJwtValidator(withAudience);
        
        return jwtDecoder;
    }

y mi authentication converter (que es donde creo que está el problema)

@Bean
        JwtAuthenticationConverter jwtAuthenticationConverter() {
        JwtGrantedAuthoritiesConverter converter = new JwtGrantedAuthoritiesConverter();
        converter.setAuthoritiesClaimName("https://api.EJEMPLO.com/roles");
        converter.setAuthorityPrefix("ROLE_");

        JwtAuthenticationConverter jwtConverter = new JwtAuthenticationConverter();
        jwtConverter.setJwtGrantedAuthoritiesConverter(converter);
        return jwtConverter;
    }

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.