Vaadin + Spring Security 可以只作为 oauth2 用户代理而不是客户端吗？

如何解决Vaadin + Spring Security 可以只作为 oauth2 用户代理而不是客户端吗？

Oauth2 授权代码流定义角色，如下图顶部所示。

我已经有一个用 Spring Security 和多个资源服务器编写的客户端应用程序。 Vaadin 应用程序是否可以仅充当 UserAgent？ IE。有一个 Java 应用程序，它为 Vaadin 前端提供服务，但将登录请求传递给另一个使用 Spring Security（或任何其他 oauth2 兼容程序）用 Java 编写的客户端应用程序？ 我认为阅读前后端分离是有利的。到目前为止，我只找到了将 java vaadin 应用程序配置为客户端应用程序的教程。 IE。 applicaiton.yaml 中的类似内容

spring:
   security:
      oauth2:
        client:
           registration:
              keycloak:
                client-id: 
                client-secret: 
                authorization-grant-type: authorization_code
                redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
                scope: 
        provider:
          keycloak:
             issuerUri: 

还有这样的安全配置

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

   @Override
   public void configure(HttpSecurity http) throws Exception {
      http
            .authorizeRequests()
            .antMatchers("/index.html","/","/login").permitAll()
            .anyRequest().authenticated()
            .and()
            .oauth2Client()
            .and()
            .oauth2Login();
   }
}

或者： 资源服务器是否可以向另一个资源服务器发出 API 请求？ IE。配置一个 Web 客户端/oauth2Client 实例，它可以发出授权的休息请求？

解决方法

如果您试图在分离代码库和分离部署的本质上将 UI 与后端分离以实现庞大的集群和负载平衡目的，您可以考虑微服务架构。

在微服务架构中，每个服务（包括 OAuth 服务，也可能是 UI 本身）在服务注册表中注册自己，因此其他服务可以通过该注册表查找和调用彼此。这是一个非常抽象的解释，对于实现此类架构，您应该深入了解细节。

如此多的应用程序永远不会达到需要将 UI 与后端分离的地步，而从这种分离中获得的收益可能值得也可能不值得解决它引发的其他问题。

无论如何，Vaadin Fusion 最近推出了作为纯 Java 版本（或 Java + HTML 模板版本）的替代方案，通过 Typescript 和 HTML 创建 UI 应用程序。所以 UI 完全位于浏览器上，有点类似于 Vue、Angular 和 React。

尽管 Vaadin Fusion 的设计方式可以自动连接到同一项目中的后端服务，但我相信您可以通过对调用其他后端服务（例如 OAuth 或您现有的 Java 应用程序）进行一些调整来实现您想要的。但是，您应该处理一些其他问题，例如处理 CORS 或用户会话等（这也是您使用其他前端框架和库时存在的问题）。

您可以了解有关 Vaadin Fusion here 的更多信息。为了快速入门，您可能还想观看 this 短片。