什么是通过类型安全方式访问通过春季安全的自定义OIDC属性（索赔）的最佳方法

Question

我们有一个使用OpenID Connect / Spring Security 5的Web应用程序来验证用户。 与我们在我们的spring Security中的开箱即用的OIDC支持非常简单。

使用OAuth2身份验证支持（ oauth2login ） ，Identity提供商通过UserInfo端点公开了一些属性， 业务逻辑（最好以类型安全的方式）。这些属性在某些情况下是富有的对象的列表，使用通用 map＆lt＆lt; string，object＆gt;

该userInfo端点的属性与default doken的属性合并到默认值<<<代码> oidcuserService ，然后放在 defaultoidCuser （以便它成为 oauth2authenticationToken ）的

• 一部分包含所有这些属性的DefaultoidCuser（使用映射）
• java.security.principal = oauth2authenticationToken （又包含委托人，是我们的 default> defaultoidcuser ）
• securitycontextholder.getContext（）。getAuthentication（） =再次相同 oauth2authenticationToken ，

因此要访问自定义属性，我可以

1. 施放principal（or SecurityContexTholder.getContext（） ））

public void doSomething(Principal principal) {
   OAuth2AuthenticationToken oAuth2AuthenticationToken = (OAuth2AuthenticationToken)principal;
   Map<String, Object> attributes = oAuth2AuthenticationToken.getPrincipal().getAttributes();
  ...
}

缺点是我需要施放，并且需要将地图转换为代码中的POJO“某个地方”，最好只有一次。

2. 注入 @Authentication Principal defaultoidCuser 避免施放和访问属性。

public void doSomething(@AuthenticationPrincipal DefaultOidcUser defaultOidcUser) {
    Map<String, Object> attributes = defaultOidcUser.getAttributes();
    ...

}

在这里，我不需要施放，但仍然没有属性作为pojo。

以类型安全的方式轻松访问这些属性的最佳方法是什么？

提到 oauth2userservice ，我们有一个可以返回可以是自定义对象的 oidcuser 的钩子，以类型的安全方式公开我们的属性。

导致我进入选项nr 3

3. 创建一个自定义 oidcuserService

    private OAuth2UserService<OidcUserRequest, OidcUser> oidcUserService() {
        final OidcUserService delegate = new OidcUserService();

        return (userRequest) -> {
            // Load original user
            OidcUser oidcUser = delegate.loadUser(userRequest);

            // Parse custom claims
            CustomTypedAttributes customTypedAttributes = objectMapper.convertValue(oidcUser.getClaims(), CustomTypedAttributes.class);

            // Expose them as new custom user
            return new CustomOidcUser(oidcUser.getAuthorities(), oidcUser.getIdToken(), oidcUser.getUserInfo(), customTypedAttributes);
        };
    }

优势是我们通过 code> coductoidcuser.getCustomTypedAttributes（），对我们的自定义属性具有类型的安全访问一次（登录后）。

但是，将 oidcuser 像这样的 odcuser 揭露类型的安全属性映射并不感到“正确”。

是否有其他方法可以处理应用程序代码中的自定义属性：

• 以一种安全的方式访问自定义属性。
• 使用标准弹簧安全构建块
• 测试友好的标准弹簧安全构建块（使用Spring Security Testing），