Historial de página

...

Tabla de contenidos

CONFIGURACIÓN

COMÚN

GLOBAL

Configuración para establecer el mismo nivel LoA mínimo en todos los endpoints de una API:

Clase Configuration (SecurityConfig)

1. Si no existe en nuestro proyecto, crear una clase SecurityConfig.java nueva a partir del código de FundeWebJSSecurityConfig (ubicada en la librería fundewebjs-security).
   
   

2. En el application.properties (de local y de los entornos en Helm Chart), añadir la siguiente property:
   
   

   Bloque de código
   //Deshabilita SecurityFilterChain por defecto fdwjs.starter.security.enable=false

   
   

3. En la clase SecurityConfig.java recién creada clase con la configuración de seguridad (generalmente SecurityConfig.java), añadir el siguiente Bean para configurar el filtro para LoA, estableciendo el nivel mínimo que se desea establecer en toda nuestra API:
   
   

   Bloque de código
   @Bean public UmuJwtLoaAuthenticationFilter loaFilterBean() { return new UmuJwtLoaAuthenticationFilter( UmuJwtLoaLevelEnum.SUBSTANTIAL); }

   
   
   

4. En la misma clase, en el método configure, añadir el filtro configurado en el paso anterior de la siguiente forma:
   
   

   Bloque de código
   language java
   .addFilterAfter( loaFilterBean(), BearerTokenAuthenticationFilter.class )

   Hay que añadirlo justo antes de  .oauth2ResourceServer().jwt().
   Por ejemplo:

   Bloque de código
   language java
   @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .mvcMatchers("/actuator/**").permitAll() .mvcMatchers("/api-docs").permitAll() .mvcMatchers(apiPath+"/public/**").permitAll() .mvcMatchers(apiPath+"/private/**").hasAnyAuthority(serverScopes) .anyRequest().authenticated().and() .addFilterAfter( loggingFilterBean(), BearerTokenAuthenticationFilter.class ) .addFilterAfter( loaFilterBean(), BearerTokenAuthenticationFilter.class ) .oauth2ResourceServer().jwt(); http.csrf().disable(); }

   
   

...

1. En la clase con la configuración de seguridad (generalmente SecurityConfig.javaver pasos 1 y 2 de la configuración global), añadir la siguiente anotación en la declaración de la clase:
   

   Bloque de código
   language java
   @EnableGlobalMethodSecurity( prePostEnabled = true )

   
   

2. Añadir el siguiente Bean:

   Bloque de código
   language java
   @Bean UmuJwtLoaAccessDeniedHandler accessDeniedHandler() {   return new UmuJwtLoaAccessDeniedHandler(); }

   
   

3. En la misma clase, en el método configure, añadir el accessDeniedHandler configurado en el paso anterior de la siguiente forma:

   Bloque de código
   language java
   .and().exceptionHandling().accessDeniedHandler( accessDeniedHandler() )

   Ejemplo de configuración completa:

   Bloque de código
   language java
   @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .mvcMatchers("/actuator/**").permitAll() .mvcMatchers("/api-docs").permitAll() .mvcMatchers(apiPath+"/public/**").permitAll() .mvcMatchers(apiPath+"/private/**").hasAnyAuthority(serverScopes) .anyRequest().authenticated() .and().exceptionHandling().accessDeniedHandler( accessDeniedHandler() ) .and().addFilterAfter( loggingFilterBean(), BearerTokenAuthenticationFilter.class ) .oauth2ResourceServer().jwt(); http.csrf().disable(); }

   
   RestController
   Ahora, en nuestro RestController, anotar el método con nuestro endpoint a securizar con la siguiente anotación:

   Bloque de código
   language java
   @PreAuthorize( "@umuJwtLoaAuthenticator.isSubstantialLoA(authentication)" )

   
   

   Advertencia
   El método isSubstantialLoA del componente umuJwtLoaAuthenticator establece el nivel mínimo de LoA para acceder al endpoint a medio (Substantial del eIDAS). Para establecer el nivel alto (High), es necesario utilizar el método isHighLoA(authentication).

   
   Por ejemplo:

   Bloque de código
   language java
   @GetMapping( "/private/afiliacion" ) @Operation( summary = "Endpoint test /afiliacion", description = "Obtiene el dto de afiliación del token llamando a serviciosgente internamente", tags = {"Serviciosgente"}, security = {@SecurityRequirement( name = "OIDC", scopes = "openid" )}, responses = { @ApiResponse( responseCode = "401", description = "Token inválido o LoA mínimo no alcanzado", content = @Content ), @ApiResponse( responseCode = "500", description = "Error de comunicación con serviciosgente", content = @Content ), @ApiResponse( responseCode = "200", description = "Token subject.", content = @Content( schema = @Schema( implementation = AfiliacionDTO.class ) ) ) } ) @PreAuthorize( "@umuJwtLoaAuthenticator.isSubstantialLoA(authentication)" ) public ResponseEntity<AfiliacionDTO> getAfiliacionGente( @AuthenticationPrincipal Jwt jwt ) {

   
   

...