使用 Azure Active Directory B2C 保護 Java Spring Boot 應用程式

本文示範一個 Java Spring Boot Web 應用程式，該應用程式使用 Azure AD B2C Spring Boot Starter client library for Java，讓使用者在您的 Azure Active Directory B2C 租用戶中登入。 它會使用 OpenID Connect 通訊協定。

下圖顯示應用程式的拓撲：

顯示應用程式拓撲的圖表。

用戶端應用程式會使用適用於 Java 的 Azure AD B2C Spring Boot Starter 用戶端連結庫來登入使用者，並從 Azure AD B2C 取得識別符令牌。 標識元令牌會證明使用者已向 Azure AD B2C 進行驗證，並讓使用者存取受保護的路由。

必要條件

• JDK 15 版。 此範例是在 Java 15 的系統上開發，但可能與其他版本相容。
• Maven 3
• 建議使用 適用於 Visual Studio Code 的 Java 擴充功能套件，在 Visual Studio Code 中執行此範例。
• Azure AD B2C 租用戶。 如需更多資訊，請參閱 教學課程：建立 Azure Active Directory B2C 租用戶
• Visual Studio Code
• 適用於 Visual Studio Code 的 Azure 工具

建議

• 稍微熟悉 Spring Framework。
• 對 Linux/OSX 終端機操作有基本了解。
• jwt.ms 用於檢查您的權杖。
• Fiddler 用於監控您的網路活動及進行疑難排解。
• 關注 Microsoft Entra 部落格，隨時掌握最新發展。

設定範例

下列各節說明如何設定範例應用程式。

複製或下載範例存放庫

若要複製範例，請開啟Bash視窗，並使用下列命令：

git clone https://github.com/Azure-Samples/ms-identity-msal-java-samples.git
cd 4-spring-web-app/1-Authentication/sign-in-b2c

或者，瀏覽至 ms-identity-msal-java-samples 存放庫，然後將其下載為 .zip 檔案，並解壓縮到您的硬碟。

此範例隨附預先註冊的應用程式以供示範之用。 如果您想要使用自己的 Azure AD B2C 租使用者和應用程式，請在 Azure 入口網站 中註冊並設定應用程式。 如需更多資訊，請參閱註冊應用程式一節。 否則，請繼續進行 執行範例 一節中的步驟。

選擇您想要在其中建立應用程式的 Azure AD B2C 租用戶

若要選擇您的租使用者，請使用下列步驟：

1. 登入 Azure 入口網站。

2. 如果您的帳戶位於一個以上的 Azure AD B2C 租用戶中，請在 Azure 入口網站的角落選取您的個人資料，然後選取 切換目錄，將您的工作階段切換到所需的 Azure AD B2C 租用戶。

建立使用者流程和自定義原則

若要建立常見的使用者流程，例如註冊、登入、編輯設定檔和重設密碼，請參閱 教學課程：在 Azure Active Directory B2C 中建立使用者流程。

您也應該考慮在 Azure Active Directory B2C 中建立自定義原則。 不過，此工作已超出本教學課程的範圍。 如需更多資訊，請參閱 Azure AD B2C 自訂原則概觀。

新增外部識別提供者

請參閱 教學課程：在 Azure Active Directory B2C 中將識別提供者新增至您的應用程式。

註冊應用程式（java-spring-webapp-auth-b2c）

若要註冊應用程式，請使用下列步驟：

1. 瀏覽至 Azure 入口網站，然後選取 Azure AD B2C。

2. 在瀏覽窗格中選取 [應用程式註冊 ]，然後選取 [ 新增註冊]。

3. 在出現的 [ 註冊應用程式] 頁面中 ，輸入下列應用程式註冊資訊：

   • 在 Name 區段中，輸入一個有意義的應用程式名稱，供應用程式使用者查看，例如 。
   • 在 [支援的帳戶類型] 下，選取 [任何身分識別提供者或組織目錄中的帳戶 (用於運用使用者流程來驗證使用者)]。
   • 在 重新導向 URI (選用) 區段中，於下拉式方塊中選取 Web，然後輸入下列重新導向 URI：。

4. 選取 註冊 以建立應用程式。

5. 在應用程式的註冊頁面上，尋找並複製 應用程式 （用戶端） 識別碼 值，以供稍後使用。 您會在應用程式的組態檔或檔案中使用此值。

6. 選取儲存以儲存變更。

7. 在應用程式的註冊頁面上，選取 瀏覽窗格中的 [憑證和秘密 ] 窗格，以開啟頁面以產生秘密並上傳憑證。

8. 在用戶端密碼區段底下，選取新增用戶端密碼。

9. 輸入描述 - 例如， 應用程式秘密。

10. 選取祕密的到期日，或指定自訂存留期。 用戶端機密的有效期限限制為 24 個月，Microsoft 建議有效期少於 12 個月。 對於生產應用程式，建議使用憑證或聯邦身份憑證，而非用戶端秘密。

11. 選取新增。 產生的值隨即顯示。

12. 複製並儲存產生的值，以供後續步驟使用。 您需要此值用於您的程式碼設定檔。 此值不會再次顯示，而且您無法透過任何其他方式加以擷取。 因此，請務必先在 Azure 入口網站中將其儲存，再切換到任何其他畫面或窗格。

設定應用程式 （java-spring-webapp-auth-b2c） 以使用您的應用程式註冊

使用下列步驟來設定應用程式：

1. 在 IDE 中開啟專案。

2. 開啟 src/main/resources/application.yml 檔案。

3. 找出 屬性，並將現有值替換為 Azure 入口網站中 應用程式的應用程式識別碼或 。

4. 找出 屬性，並將現有值替換為您在 Azure 入口網站中建立 應用程式時儲存的值。

5. 找出 屬性，並將 值的兩處出現，替換為您在 Azure 入口網站中建立 應用程式時所使用的 Azure AD B2C 租用戶名稱。

6. 找出 屬性，並將其替換為您在 Azure 入口網站中建立 應用程式的 Azure AD B2C 租用戶中所建立的註冊/登入使用者流程原則名稱。

7. 找出 屬性，並將其替換為您在 Azure 入口網站中建立 應用程式的 Azure AD B2C 租用戶內所建立的密碼重設使用者流程原則名稱。

8. 找出 屬性，並將其替換為您在 Azure 入口網站中建立 應用程式的 Azure AD B2C 租用戶內所建立的編輯個人資料使用者流程原則名稱。

9. 開啟 src/main/resources/templates/navbar.html 檔案。

10. 找出對 和 流程的參考，並將其替換為您的 和 使用者流程。

執行範例

az login

az upgrade

az extension add --name containerapp --upgrade

az extension add --name containerapp --upgrade --allow-preview true

az provider register --namespace Microsoft.App
az provider register --namespace Microsoft.OperationalInsights

export RESOURCE_GROUP="ms-identity-containerapps"
export LOCATION="canadacentral"
export ENVIRONMENT="env-ms-identity-containerapps"
export API_NAME="ms-identity-api"
export JAR_FILE_PATH_AND_NAME="./target/ms-identity-spring-boot-webapp-0.0.1-SNAPSHOT.jar"

az group create  \
    --name $RESOURCE_GROUP \
    --location $LOCATION \

az containerapp env create \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION

az containerapp env show \
    --name $ENVIRONMENT \
    --resource-group $RESOURCE_GROUP \
    --query properties.defaultDomain

az containerapp up \
    --name $API_NAME \
    --resource-group $RESOURCE_GROUP \
    --location $LOCATION \
    --environment $ENVIRONMENT \
    --artifact <JAR_FILE_PATH_AND_NAME> \
    --ingress external \
    --target-port 8080 \
    --query properties.configuration.ingress.fqdn

探索範例

使用下列步驟來探索範例：

1. 請注意畫面中央顯示的已登入或註銷狀態。
2. 選取角落中的上下文相關按鈕。 當您第一次執行應用程式時，此按鈕會顯示為登入。 或者，選取前往權杖詳細資料的連結。 由於此頁面受到保護且需要驗證，因此會自動重新導向至登入頁面。
3. 在下一個頁面上，遵循指示，並使用所選身分識別提供者的帳戶登入。 您也可以選擇使用電子郵件地址註冊或登入 B2C 租使用者上的本機帳戶。
4. 順利完成登入流程時，您應該重新導向至首頁 -- 顯示 登入狀態 - 或 令牌詳細 數據頁面，視觸發登入流程的按鈕而定。
5. 請注意，上下文相關按鈕現在會顯示 [註銷 ] 並顯示您的用戶名稱。
6. 如果您位於首頁，請選取 ID 權杖詳細資料，以查看 ID 權杖中部分經解碼的宣告內容。
7. 編輯您的個人資料。 選取 [編輯配置檔 ] 以變更詳細數據，例如您的顯示名稱、居住地和職業。
8. 使用角落的按鈕登出。狀態頁面會反映新的狀態。

關於程式碼

此範例示範如何使用 Azure AD B2C Spring Boot Starter client library for Java，讓使用者登入您的 Azure AD B2C 租用戶。 此範例也使用了 Spring OAuth2 客戶端和 Spring Web Boot 啟動器。 此範例會使用從 Azure AD B2C 取得之標識碼令牌的宣告來顯示登入使用者的詳細數據。

目錄

下表顯示範例項目資料夾的內容：

標識元令牌宣告

若要擷取權杖詳細資訊，應用程式會在請求對應中使用 Spring Security 的 和 物件，如下列範例所示，如下列範例所示。 如需瞭解此應用程式如何使用 ID 權杖宣告的完整詳細資訊，請參閱 範例控制器。

import org.springframework.security.oauth2.core.oidc.user.OidcUser;
import org.springframework.security.core.annotation.AuthenticationPrincipal;
//...
@GetMapping(path = "/some_path")
public String tokenDetails(@AuthenticationPrincipal OidcUser principal) {
    Map<String, Object> claims = principal.getIdToken().getClaims();
}

登入和註銷連結

針對登入，應用程式會向適用於 Java 的 Azure AD B2C Spring Boot Starter 用戶端連結庫自動設定的 Azure AD B2C 登入端點提出要求，如下列範例所示：

<a class="btn btn-success" href="/oauth2/authorization/{your-sign-up-sign-in-user-flow}">Sign In</a>

若要登出，應用程式會向 端點傳送 POST 要求，如以下範例所示：

<form action="#" th:action="@{/logout}" method="post">
  <input class="btn btn-warning" type="submit" value="Sign Out" />
</form>

依驗證狀態而定的 UI 元素

應用程式在UI範本頁面中有一些簡單的邏輯，可用來根據使用者是否已驗證來判斷要顯示的內容，如下列使用 Spring Security Thymeleaf 標籤的範例所示：

<div sec:authorize="isAuthenticated()">
  this content only shows to authenticated users
</div>
<div sec:authorize="isAnonymous()">
  this content only shows to not-authenticated users
</div>

使用 WebSecurityConfigurerAdapter 保護路由

預設情況下，應用程式會保護 ID 權杖詳細資料 頁面，以便只有已登入的使用者才能存取。 應用程式會根據 application.yml 檔案中的 屬性設定這些路由。 若要設定應用程式的特定需求，您可以在某個類別中擴充 。 例如，請參閱此應用程式的 SecurityConfig 類別，如下列程式碼所示：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Value("${app.protect.authenticated}")
    private String[] protectedRoutes;

    private final AADB2COidcLoginConfigurer configurer;

    public SecurityConfig(AADB2COidcLoginConfigurer configurer) {
        this.configurer = configurer;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        // @formatter:off
        http.authorizeRequests()
            .antMatchers(protectedRoutes).authenticated()     // limit these pages to authenticated users (default: /token_details)
            .antMatchers("/**").permitAll()                  // allow all other routes.
            .and()
            .apply(configurer)
            ;
        // @formatter:off
    }
}

其他相關資訊

• Microsoft 身分識別平台（適用於開發人員的 Microsoft Entra ID）
• Microsoft 驗證程式庫 (MSAL) 概觀
• 快速入門：在 Microsoft 身分識別平台中註冊應用程式
• 快速入門：設定用戶端應用程式以存取 Web API
• 瞭解 Microsoft Entra ID 應用程式同意體驗
• 瞭解使用者和系統管理員同意
• Microsoft Entra ID 中的應用程式與服務主體物件
• 國家雲
• MSAL 程式碼範例
• Microsoft Entra ID Spring Boot Starter Java 用戶端程式庫
• 適用於 Java 的 Azure Active Directory B2C Spring Boot Starter 用戶端程式庫
• 適用於 Java 的 Microsoft 驗證程式庫 (MSAL4J)
• MSAL4J 維基
• ID 權杖
• Microsoft 身分識別平台中的存取權杖

如需了解 OAuth 2.0 通訊協定如何在此案例及其他案例中運作的詳細資訊，請參閱 Microsoft Entra ID 的驗證案例。