Créez un{" "}
compte Auth0
{" "}
ou{" "}
console.log("log in")}>
connectez-vous
{" "}
à votre compte existant pour l'intégrer directement à votre propre locataire.
;
};
export const sections = [{
id: "définir-les-autorisations",
title: "Définir les autorisations"
}, {
id: "configurer-l-exemple-de-projet",
title: "Configurer l’exemple de projet"
}, {
id: "installer-les-dépendances",
title: "Installer les dépendances"
}, {
id: "configurer-le-serveur-de-ressources",
title: "Configurer le serveur de ressources"
}, {
id: "créer-l-objet-de-domaine",
title: "Créer l’objet de domaine"
}, {
id: "créer-le-contrôleur-d-api",
title: "Créer le contrôleur d’API"
}, {
id: "exécuter-l-application",
title: "Exécuter l’application"
}];
Auth0 vous permet d’ajouter rapidement une autorisation à votre application. Ce guide explique comment intégrer Auth0 à n’importe quelle application Spring Boot, nouvelle ou ancienne.
Si vous n’avez pas encore créé d’API dans votre Auth0 Dashboard, vous pouvez utiliser le sélecteur interactif pour créer une nouvelle API Auth0 ou sélectionner une API existante qui représente le projet avec lequel vous souhaitez vous intégrer.
Consultez [notre guide de démarrage](https://auth0.com/docs/get-started/auth0-overview/set-up-apis) pour configurer votre première API via Auth0 Dashboard.
Chaque API Auth0 utilise l’identificateur API, dont votre application a besoin pour valider le jeton d’accès.
**Vous ne connaissez pas Auth0?** Découvrez [Auth0](https://auth0.com/docs/overview) et [l’implémentation de l’authentification et de l’autorisation d’API](https://auth0.com/docs/api-auth) en utilisant le cadre d’applications OAuth 2.0.
Les autorisations vous permettent de définir comment les ressources peuvent être accessibles au nom de l’utilisateur avec un jeton d’accès donné. Par exemple, vous pouvez choisir d’accorder un accès en lecture à la ressource `messages` si les utilisateurs ont le niveau d’accès gestionnaire et un accès en écriture à cette ressource s’ils ont le niveau d’accès administrateur.
Vous pouvez définir les autorisations autorisées dans la vue **Permissions (Autorisations)** de la section [API](https://manage.auth0.com/dashboard/us/dev-1-2s2aq0/apis) d’Auth0 Dashboard.
Cet exemple utilise la permission `read:messages`.
L’exemple de projet utilise un fichier `/src/main/resources/application.yml`, qui le configure pour utiliser le **domaine** et l’**identificateur API** Auth0 corrects pour votre API. Si vous téléchargez le code à partir de cette page, il sera automatiquement configuré. En revanche, si vous clonez l’exemple à partir de GitHub, vous devrez le remplir manuellement.
Si vous utilisez Gradle, vous pouvez ajouter les dépendances nécessaires en utilisant le [plugiciel Gradle de Spring Boot](https://docs.spring.io/spring-boot/docs/current/gradle-plugin/reference/html/) et le [plugiciel de gestion des dépendances](https://docs.spring.io/dependency-management-plugin/docs/current/reference/html/) pour résoudre les problèmes de versions de dépendances :
```
// build.gradle
plugins {
id 'java'
id 'org.springframework.boot'
version '3.1.5'
id 'io.spring.dependency-management'
version '1.1.3'
}
dependencies {
implementation 'org.springframework.boot:spring-boot-starter-web'
implementation 'com.okta.spring:okta-spring-boot-starter:3.0.5'
}
```
Si vous utilisez Maven, ajoutez les dépendances Spring à votre fichier `pom.xml` :
```xml theme={null}
// pom.xml
org.springframework.bootspring-boot-starter-parent3.1.5org.springframework.bootspring-boot-starter-webcom.okta.springokta-spring-boot-starter3.0.5
```
Pour configurer l’application en tant que serveur de ressources et valider les JWT, créez une classe qui fournira une instance `SecurityFilterChain` et ajoutez l’annotation `@Configuration`.
### Protéger les points de terminaison des API
Les routes ci-dessous sont disponibles pour les demandes suivantes :
* `GET /api/public` : disponible pour les demandes non authentifiées
* `GET /api/private` : disponible pour les demandes authentifiées contenant un jeton d’accès sans permission supplémentaire
* `GET /api/private-scoped` : disponible pour les demandes authentifiées contenant un jeton d’accès dont la permission `read:messages` est accordée
L’exemple ci-dessous montre comment sécuriser les méthodes de l’API à l’aide de l’objet `HttpSecurity` fourni dans la méthode `filterChain()` de la classe `SecurityConfig`. Les adaptateurs de routes limitent l’accès en fonction du niveau d’autorisation requis.
Par défaut, Spring Security crée une `GrantedAuthority` pour chaque permission dans la demande `scope` du JWT. Cette permission permet d’utiliser la méthode `hasAuthority("SCOPE\_read:messages")` pour restreindre l’accès à un JWT valide qui contient la permission `read:messages`.
Pour que votre point de terminaison renvoie un objet JSON, utilisez un enregistrement Java. Les variables membres de cet objet sont sérialisées dans la valeur clé de votre objet JSON. Créez un nouvel enregistrement appelé `Message` comme exemple d’objet de domaine à renvoyer lors des appels à l’API.
Créez une nouvelle classe appelée `APIController` pour gérer les demandes vers les points de terminaison. L’`APIController` possède trois routes définies dans la section [Protéger les points de terminaison des API](https://auth0.com/docs/quickstart/backend/java-spring-security5/interactive#configure-the-resource-server). Dans cet exemple, toutes les origines sont autorisées par l’annotation `@CrossOrigin`. Les applications réelles doivent configurer `CORS` en fonction de leur cas d’utilisation.
Pour développer et exécuter le projet exemple, exécutez la tâche Gradle `bootRun`.
Linux ou macOS :
`./gradlew bootRun`
Windows :
`gradlew.bat bootRun`
Si vous configurez votre propre application en utilisant Maven et le plugiciel [Spring Boot Maven Plugin](https://docs.spring.io/spring-boot/docs/current/reference/html/build-tool-plugins-maven-plugin.html), vous pouvez exécuter l’objectif `spring-boot:run`.
Linux ou macOS :
`mvn spring-boot:run`
Windows :
`mvn.cmd spring-boot:run`
##### Point de contrôle
L’exemple d’application sera accessible à l’adresse `http://localhost:3010/`. Pour en savoir plus sur la manière de tester et d’utiliser votre API, consultez [Utiliser votre API](https://auth0.com/docs/quickstart/backend/java-spring-security5/02-using).
## Étapes suivantes
Beau travail! Si vous en êtes arrivé là, vous devriez avoir la connexion, la déconnexion et les informations de profil utilisateur actives dans votre application.
Cela conclut notre tutoriel de démarrage rapide, mais il y a tellement plus à explorer. Pour en savoir plus sur ce que vous pouvez faire avec Auth0, consultez :
* [Auth0 Dashboard](https://manage.auth0.com/#) : apprenez à configurer et gérer votre locataire et vos applications Auth0
* [Trousse SDK Okta Spring Boot Starter](https://github.com/okta/okta-spring-boot/) : explorez en détail la trousse SDK utilisée dans ce tutoriel
* [Auth0 Marketplace](https://marketplace.auth0.com/) : découvrez des intégrations que vous pouvez activer pour étendre les fonctionnalités d’Auth0
```yml application.yml lines highlight={} theme={null}
okta:
oauth2:
# Remplacez par le domaine de votre locataire Auth0.
issuer: https://{yourDomain}/
# Remplacez par l'identifiant d'API pour votre API Auth0.
audience: {yourApiIdentifier}
```
```java SecurityConfig.java lines highlight={} theme={null}
package com.auth0.example.security;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;
import static org.springframework.security.config.Customizer.withDefaults;
/**
* Configures our application with Spring Security to restrict access to our API endpoints.
*/
@Configuration
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
/*
C'est ici que nous configurons la sécurité requise pour nos points de terminaison et configurons notre application pour qu'elle serve de
serveur de ressources OAuth2, en utilisant la validation JWT.
*/
return http
.authorizeHttpRequests((authorize) -> authorize
.requestMatchers("/api/public").permitAll()
.requestMatchers("/api/private").authenticated()
.requestMatchers("/api/private-scoped").hasAuthority("SCOPE_read:messages")
)
.cors(withDefaults())
.oauth2ResourceServer(oauth2 -> oauth2
.jwt(withDefaults())
)
.build();
}
}
```
```java APIController.java lines highlight={} theme={null}
```
```yml application.yml lines highlight={} theme={null}
okta:
oauth2:
# Remplacez par le domaine de votre locataire Auth0.
issuer: https://{yourDomain}/
# Remplacez par l'identifiant d'API pour votre API Auth0.
audience: {yourApiIdentifier}
```
```java SecurityConfig.java lines highlight={} theme={null}
package com.auth0.example.security;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;
import static org.springframework.security.config.Customizer.withDefaults;
/**
* Configures our application with Spring Security to restrict access to our API endpoints.
*/
@Configuration
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
/*
C'est ici que nous configurons la sécurité requise pour nos points de terminaison et configurons notre application pour qu'elle serve de
serveur de ressources OAuth2, en utilisant la validation JWT.
*/
return http
.authorizeHttpRequests((authorize) -> authorize
.requestMatchers("/api/public").permitAll()
.requestMatchers("/api/private").authenticated()
.requestMatchers("/api/private-scoped").hasAuthority("SCOPE_read:messages")
)
.cors(withDefaults())
.oauth2ResourceServer(oauth2 -> oauth2
.jwt(withDefaults())
)
.build();
}
}
```
```java APIController.java lines highlight={} theme={null}
```
```java SecurityConfig.java lines highlight={} theme={null}
package com.auth0.example.security;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;
import static org.springframework.security.config.Customizer.withDefaults;
/**
* Configures our application with Spring Security to restrict access to our API endpoints.
*/
@Configuration
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
/*
C'est ici que nous configurons la sécurité requise pour nos points de terminaison et configurons notre application pour qu'elle serve de
serveur de ressources OAuth2, en utilisant la validation JWT.
*/
return http
.authorizeHttpRequests((authorize) -> authorize
.requestMatchers("/api/public").permitAll()
.requestMatchers("/api/private").authenticated()
.requestMatchers("/api/private-scoped").hasAuthority("SCOPE_read:messages")
)
.cors(withDefaults())
.oauth2ResourceServer(oauth2 -> oauth2
.jwt(withDefaults())
)
.build();
}
}
```
```yml application.yml lines highlight={} theme={null}
okta:
oauth2:
# Remplacez par le domaine de votre locataire Auth0.
issuer: https://{yourDomain}/
# Remplacez par l'identifiant d'API pour votre API Auth0.
audience: {yourApiIdentifier}
```
```java APIController.java lines highlight={} theme={null}
```
```yml application.yml lines highlight={} theme={null}
okta:
oauth2:
# Remplacez par le domaine de votre locataire Auth0.
issuer: https://{yourDomain}/
# Remplacez par l'identifiant d'API pour votre API Auth0.
audience: {yourApiIdentifier}
```
```java SecurityConfig.java lines highlight={} theme={null}
package com.auth0.example.security;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;
import static org.springframework.security.config.Customizer.withDefaults;
/**
* Configures our application with Spring Security to restrict access to our API endpoints.
*/
@Configuration
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
/*
C'est ici que nous configurons la sécurité requise pour nos points de terminaison et configurons notre application pour qu'elle serve de
serveur de ressources OAuth2, en utilisant la validation JWT.
*/
return http
.authorizeHttpRequests((authorize) -> authorize
.requestMatchers("/api/public").permitAll()
.requestMatchers("/api/private").authenticated()
.requestMatchers("/api/private-scoped").hasAuthority("SCOPE_read:messages")
)
.cors(withDefaults())
.oauth2ResourceServer(oauth2 -> oauth2
.jwt(withDefaults())
)
.build();
}
}
```
```java APIController.java lines highlight={} theme={null}
```
```java APIController.java lines highlight={} theme={null}
```
```java SecurityConfig.java lines highlight={} theme={null}
package com.auth0.example.security;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.SecurityFilterChain;
import static org.springframework.security.config.Customizer.withDefaults;
/**
* Configures our application with Spring Security to restrict access to our API endpoints.
*/
@Configuration
public class SecurityConfig {
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
/*
C'est ici que nous configurons la sécurité requise pour nos points de terminaison et configurons notre application pour qu'elle serve de
serveur de ressources OAuth2, en utilisant la validation JWT.
*/
return http
.authorizeHttpRequests((authorize) -> authorize
.requestMatchers("/api/public").permitAll()
.requestMatchers("/api/private").authenticated()
.requestMatchers("/api/private-scoped").hasAuthority("SCOPE_read:messages")
)
.cors(withDefaults())
.oauth2ResourceServer(oauth2 -> oauth2
.jwt(withDefaults())
)
.build();
}
}
```
```yml application.yml lines highlight={} theme={null}
okta:
oauth2:
# Remplacez par le domaine de votre locataire Auth0.
issuer: https://{yourDomain}/
# Remplacez par l'identifiant d'API pour votre API Auth0.
audience: {yourApiIdentifier}
```
Créez un{" "}
compte Auth0
{" "}
ou{" "}
console.log("log in")}>
connectez-vous
{" "}
à votre compte existant pour l'intégrer directement à votre propre locataire.
![Auth0 Dashboard> Applications > APIs (API) > [Specific API (API précise)] > Onglet Permissions (Autorisations)](https://mintcdn.com/generaltranslationinc/YjN60X_U-1aBZwRP/docs/images/fr-ca/cdy7uua7fh8z/1s3Yp5zqJiKiSWqbPSezNO/677a3405b2853f5fdf9e42f6e83ceba7/Quickstarts_API_-_French.png?fit=max&auto=format&n=YjN60X_U-1aBZwRP&q=85&s=9e4188afcf98fb42a7f42a9610cb5dae)