0

SpringSecurity初心者です。

Java 11
SpringBoot 2.3
でクライアントOauth2認証を実施しています。
トークンの管理は特にDBでしたりしていません。

Configクラスの設定で

    @Autowired
    CustomOidcUserService serv;
    @Autowired
    CustomLogoutHandler logoutHandler;
:
protected void configure(HttpSecurity http) throws Exception {     
    http.authorizeRequests()
        .anyRequest().authenticated()
        .and().oauth2Login()
        .userInfoEndpoint()
        .oidcUserService(serv).and().defaultSuccessUrl("/menu", true).failureUrl("/login?error");

        http.logout().logoutSuccessUrl("/login").permitAll()
              .clearAuthentication(true).addLogoutHandler(logoutHandler);
        http.exceptionHandling().accessDeniedPage("/");
}

と設定して、ログアウト時にLogoutHandlerを利用して認証サーバー側のトークンを破棄することはできたのですが、セッションタイムアウト時に認証サーバー側のトークン破棄ができません。

セッションタイムアウトでセッションが破棄されているのは確認できたのですが、その後操作するとエラーとはならずセッションが生成され、新しいアクセストークンが作成されてしまいます。

詳しく説明を記述したいのですが、なにぶん初心者のため知識が少なく書き込める情報もわかっていません・・・。
ご迷惑承知ですが、ご教授のほうよろしくおねがいします。

※補足※
https://terasolunaorg.github.io/guideline/5.3.0.RELEASE/ja/Security/OAuth.html#oauthclientserverhowtocanceltoken
を見ていますが、いまいち理解できないです。

2
  • OAuth2.0には登場人物が多いのと、Spring(Boot)のOAuth2.0実装も複数あるので、その辺りの説明がもう少し必要かなと思います。おそらくSpring SecurityのOAuth 2.0 Login機能を利用してSpring BootでOAuth2.0クライアントの実装を行っている、ということなのかなと思いますが…(質問文中に登場する単語が指すものは複数候補あるので、もう少し具体的に書かないと質問内容が伝わらないのではないかな、と感じました) Commented 2020年6月17日 1:46
  • @出羽和之 コメントありがとうございます。自分でわかる範囲で言葉を追加してみました。ご指摘通りOauth2.0クライアントの実装です。質問内容は「sessionが破棄されたら、認証サーバー側のトークンをrevokeしたい」です。
    – nyako
    Commented 2020年6月17日 3:53

1 件の回答 1

1

自分も少し興味が有ったので考えてみました。
流れとしてはこういう感じになるかと思います。


Http Sessionの破棄時に何かをしたい、という場合には、HttpSessionDestroyedEventのリスナを登録して、そこに処理を実装することになります。
こちらの具体的な方法については次のリンク先に説明があります。

    @Bean
    public HttpSessionEventPublisher httpSessionEventPublisher() {
        return new HttpSessionEventPublisher();
    }

また、この
HttpSessionEventPublisherをBean化して、リスナコンポーネントを作成する

@Component
public class MySessionDestroyedEventListener implements ApplicationListener<SessionDestroyedEvent> {
    @Override
    public void onApplicationEvent(final SessionDestroyedEvent event) {
        // 行いたい処理
    }
}

ということですね。

また、このSessionDestroyedEventは(デフォルト設定のままであれば)http sessionのexpire時の他、logout時にも発生しますので、ログアウトのときは〜、session expireのときは〜、のように分けて考える必要はありません。
どちらの場合もここに実装すれば良いと思います(つまり、カスタムlogout handlerは必要ない)。

2.

セッション破棄時に認可サーバへtoken revocation要求を行いたい、とのことですが、実際には、それ以外にもクライアント(ここではSpring Bootアプリ)が管理しているトークンも明示的に削除する必要がありました(さもなくば、そのトークンを使ってリソースサーバにアクセスできてしまう(例えばJWTを利用している場合))。
これは OAuth2AuthorizedClientService#removeAuthorizedClient() で実現できます。

まとめると、SessionDestroyedEventリスナで

  • 認可サーバへのtoken revocation要求
  • OAuth2AuthorizedClientServiceからのtoken削除

を行うことが、期待した機能を実現することになります。


GitHubを認可サーバ(&リソースサーバ)として今回の処理を行うサンプルを作ってみました(※実際にはもう少しちゃんと状態遷移について考える必要があるかもしれません):

SessionDestroyedEventリスナtokenの削除処理2種が上記で記載したポイントになります。


追記:
コメントでも触れたのですが、Spring Security系列のOAuth2.0関連実装は複数あります(ありました)。
補足として示されているTERASOLUNAのリファレンス(最新版はこちら)で説明されているのはSpring Security OAuthというプロダクト/プロジェクトですが、これはもはやdeprecatedです。
現在、OAuth2.0に関する機能はSpring Security本体のプロジェクトに取り込まれています。
これら2つは別物ですので、ドキュメントは参考になりません。
(ちょっと古いですがここに状況を簡単にまとめています。)

TERASOLUNAのリファレンスには

Spring Security OAuthのデフォルト実装ではセッションスコープでアクセストークンを保持する

とありますが、Spring SecurityのOAuth 2.0 Client (紛らわしいですが前述の通りSpring Security OAuthとは別物です)ではセッションとは独立して管理している(本文に記載している通りOAuth2AuthorizedClientServiceが管理)ので、ここが混乱されている一因なのかな、と思いました。


追記2:

こちらのコメントで触れたkazuki43zooさんの記事

の、

Spring Securityのデフォルト動作では、認証が成功すると認証情報がHTTPセッションで管理される仕組みになっているため、ログアウトまたはセッションタイムアウトするまでログイン状態は維持されます。

という説明が気になった(私の回答と矛盾しているように見える、つまり本回答が間違っているかもしれない)ので調べてみました。
(ちなみにここで「アクセストークンを破棄してみる」と言っているのは、 https://github.com/settings/applications でrevokeすることを指しているはずです。)

この引用文中で「認証情報」と呼んでいるのは、(デフォルトでは)OAuth2AuthenticationToken及びこれがprincipalフィールドに持つOAuth2Userのようです。

この情報によってセッションを利用しているSpringBootログインユーザとOAuth2AuthorizedClientが紐付けられます。
トークンを管理しているのはOAuth2AuthorizedClientなので、セッションの破棄が即ちトークンの破棄というわけではなく(SpringBootログインユーザとGitHubユーザの紐付けが無くなるだけ)、やはり今回の場合明示的にOAuth2AuthorizedClientService#removeAuthorizedClient()を呼ぶべきかなと考えます。

というわけで、本文の対応で問題無さそうでした。


追記3:
コメントの疑問について。

今回のようにセッションが破棄されたタイミングで認証サーバへトークンの破棄というのは通常しない行為なのでしょうか…?

RFC6749訳の登場人物のところに説明がありますが、
リソースオーナーがクライアントに認可を与えた、ということは、クライアントが「リソースオーナーの代理として保護されたリソースに対するリクエストを行」なえるようになった、ということです。
今回、

  • リソースオーナー = SpringBootユーザ
  • クライアント = SpringBootアプリケーション

となるわけですが、SpringBootアプリケーションがリソースサーバへアクセスするのにSpringBootユーザがログインしている必要がある、というような制約はOAuth2.0的にはありません(のでSpring Security OAuth2.0 Clientの実装もそうなっている)。クライアントはもはや認可を得ており、その権限内でリソースオーナーの指示無く自発的に保護されたリソースへアクセスすることができます。

また、世にあるアプリケーションがどうしているかというと、やはりログアウト時に認可をrevokeするようなものは少ないのではないかと思います。
例えば、いわゆるソーシャルログイン機能として認可を与えているサービス一覧が次のページで見られますが、ログアウトしたからと言ってこの一覧から消えるようなサービスはあまり無いのではないでしょうか。

(ただ、ログインと同時に認可をrevokeするようなアプリケーションは存在し得ないか、というとそういうわけでもなく、要件次第、ということになるでしょうか…)

破棄しないとトークンが破棄されず溜まる一方なのかと思っているのですが…

これはその通りです。ただ、1ユーザ当たり1認可サーバに対して必要なトークンは(通常)最大でも1つなので、際限なく増加するわけではなく上限があます。
また、OAuth2AuthorizedClientServiceの実装はデフォルトではインメモリ管理ですが、プロダクションに適用するのであれば、このままだと揮発してしまうのでJdbcOAuth2AuthorizedClientServiceを使ってDBに永続化したりすることになると思います。ですので、あまり気にする部分でもないのかなと考えます。
(これも要件次第ではありますが…)


追記4:

本件と少し関係のある話題が次のチケットで議論されていました:

Spring Boot の auto-configuration で設定されるInMemoryOAuth2AuthorizedClientService(今回これを使う想定だと思います) は development / testing 向けで、productionでの利用は推奨していない、などが説明されています。

6
  • ありがとうございます!問題なく動きました!本当に丁寧に解説していただき感謝しきれません。ご指摘の通りOAuth2AuthorizedClientServiceが全く理解できていませんでした。※Sessionで管理しているものとばかり思っていました・・・。
    – nyako
    Commented 2020年6月18日 4:24
  • すみません、approve頂いたところ申し訳ないのですが、どうも私が本文に記載した内容は間違っているようです。Kazuki Shimizuさん(Spring Securityのソースを見ているとcommitterとして頻繁にお見かけする方です)がこの辺りについて解説記事をQiita(連載記事で、第4回まであるようです)に書かれていますので、差し当たってはこちらを参照頂けますでしょうか。本回答についても、私が正しく理解した後、修正します。/本文の誤っている箇所として具体的に今私が認識できているのは、"tokenをセッションとは独立して管理している"部分です。これは上記Shimizuさんの記事にある通り、「Spring Securityのデフォルト動作では、認証が成功すると認証情報がHTTPセッションで管理される仕組みになっている」が正しそうです。 Commented 2020年6月18日 7:22
  • 上の件は回答内容に影響無さそうでした(詳細は本文に追記2として記載)。 Commented 2020年6月18日 9:29
  • 丁寧にありがとうございます!!教えていただいたページ参考にして勉強したいと思います!追記ありがとうございます!!
    – nyako
    Commented 2020年6月18日 10:18
  • 認証サーバのトークン破棄なので認識は合っています!ちなみにですが…今回のようにセッションが破棄されたタイミングで認証サーバへトークンの破棄というのは通常しない行為なのでしょうか…?破棄しないとトークンが破棄されず溜まる一方なのかと思っているのですが…
    – nyako
    Commented 2020年6月18日 10:32

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。