Spring Boot + Spring Security で OAuth2.0 / OpenID Connect を実装する【仕組みから理解する認証・認可】

<!-- pom.xml -->
<dependencies>
    <!-- Spring Web -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>

    <!-- Spring Security （OAuth2 Client + Resource Server 両方含む）-->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-oauth2-client</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
    </dependency>
</dependencies>

spring:
  security:
    oauth2:
      # --- OAuth2 Client (ログイン + OIDC) の設定 ---
      client:
        registration:
          my-idp:                          # 任意のクライアント登録ID
            client-id: your-client-id
            client-secret: your-client-secret
            # scope に openid を含めることで OIDC が有効化される
            # profile, email は OIDC の追加クレーム取得用
            scope:
              - openid      # 【OIDC】 ID Token 発行のトリガー
              - profile     # 【OIDC】 name, picture 等のクレーム
              - email       # 【OIDC】 email クレーム
            authorization-grant-type: authorization_code  # 【OAuth2.0】
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
        provider:
          my-idp:
            # issuer-uri を指定するだけで全エンドポイントが自動設定される
            # これは OIDC ディスカバリーの機能
            issuer-uri: https://your-idp.example.com

      # --- Resource Server (API 保護 + JWT 検証) の設定 ---
      resourceserver:
        jwt:
          # 【OAuth2.0】 JWK Set URI で署名検証用公開鍵を取得
          jwk-set-uri: https://your-idp.example.com/.well-known/jwks.json
          # issuer-uri でも代替可能（自動で jwks_uri を取得）
          # issuer-uri: https://your-idp.example.com

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/", "/public/**").permitAll()   // 公開ページ
                .anyRequest().authenticated()                     // それ以外は認証必須
            )
            /*
             * 【OAuth2.0 + OIDC】 oauth2Login() を有効化することで以下が自動設定される:
             *   - OAuth2LoginAuthenticationFilter（認可コード受け取り）
             *   - AuthorizationRequestRedirectFilter（認可サーバーへのリダイレクト）
             *   - OidcUserService（ID Token の検証 + UserInfo 取得）<- OIDC 専用
             */
            .oauth2Login(oauth2 -> oauth2
                .defaultSuccessUrl("/dashboard", true)
            )
            /*
             * 【OAuth2.0】 oauth2ResourceServer() を有効化することで以下が自動設定される:
             *   - BearerTokenAuthenticationFilter（Authorization ヘッダーから JWT 取り出し）
             *   - JwtAuthenticationProvider（JwtDecoder で JWT を検証）
             *   - JwtAuthenticationConverter（JWT クレームを権限に変換）
             */
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(Customizer.withDefaults())
            );

        return http.build();
    }
}

@RestController
public class UserController {

    /**
     * 【OIDC】 OidcUser はID TokenとUserInfoエンドポイントの情報を統合したオブジェクト
     * scope=openid を指定している場合のみ OidcUser として取得可能
     */
    @GetMapping("/me")
    public Map<String, Object> currentUser(
            @AuthenticationPrincipal OidcUser oidcUser) {

        return Map.of(
            // 【OIDC】 ID Token のクレーム（sub = ユーザーの一意ID）
            "sub",   oidcUser.getSubject(),
            "email", oidcUser.getEmail(),
            "name",  oidcUser.getFullName(),

            // 【OIDC】 ID Token 全体を取得
            "idToken", oidcUser.getIdToken().getTokenValue(),

            // 【OAuth2.0】 権限情報
            "authorities", oidcUser.getAuthorities()
        );
    }

    /**
     * 【OAuth2.0】 Resource Server として動作するエンドポイント
     * Authorization: Bearer <JWT> ヘッダーで呼び出す
     * JwtAuthenticationToken はAccess TokenのJWT情報を保持
     */
    @GetMapping("/api/resource")
    public Map<String, Object> protectedResource(
            @AuthenticationPrincipal Jwt jwt) {

        return Map.of(
            // 【OAuth2.0】 JWT クレーム（Access Token のペイロード）
            "sub",    jwt.getSubject(),
            "scope",  jwt.getClaimAsStringList("scope"),
            "issuer", jwt.getIssuer()
        );
    }
}

@Configuration
public class JwtConfig {

    /**
     * 【OAuth2.0】 JwtDecoder をカスタマイズして aud クレームを検証
     * spring.security.oauth2.resourceserver.jwt.issuer-uri を参照して
     * JWKS URI を自動取得するため、issuer-uri の設定が必要
     */
    @Bean
    public JwtDecoder jwtDecoder(
            @Value("${spring.security.oauth2.resourceserver.jwt.issuer-uri}") String issuerUri) {

        NimbusJwtDecoder decoder = JwtDecoders.fromIssuerLocation(issuerUri);

        // カスタムバリデーター: aud クレームに my-api が含まれることを確認
        OAuth2TokenValidator<Jwt> audienceValidator =
            jwt -> jwt.getAudience().contains("my-api")
                ? OAuth2TokenValidatorResult.success()
                : OAuth2TokenValidatorResult.failure(
                    new OAuth2Error("invalid_token", "Invalid audience", null));

        // デフォルトの検証（iss, exp）にカスタム検証を追加
        OAuth2TokenValidator<Jwt> combinedValidator =
            new DelegatingOAuth2TokenValidator<>(
                JwtValidators.createDefaultWithIssuer(issuerUri),
                audienceValidator
            );

        decoder.setJwtValidator(combinedValidator);
        return decoder;
    }

    /**
     * 【OAuth2.0】 JWT クレームから権限（GrantedAuthority）へのマッピングをカスタマイズ
     * デフォルトは scope クレームを SCOPE_ プレフィックス付きで権限化する
     */
    @Bean
    public JwtAuthenticationConverter jwtAuthenticationConverter() {
        JwtGrantedAuthoritiesConverter converter = new JwtGrantedAuthoritiesConverter();
        converter.setAuthorityPrefix("ROLE_");       // プレフィックスを変更
        converter.setAuthoritiesClaimName("roles");  // クレーム名を変更（デフォルトは scope）

        JwtAuthenticationConverter jwtConverter = new JwtAuthenticationConverter();
        jwtConverter.setJwtGrantedAuthoritiesConverter(converter);
        return jwtConverter;
    }
}

@Configuration
public class OidcConfig {

    /**
     * 【OIDC専用】 OidcUserService をカスタマイズ
     * デフォルトでは scope=openid 時に UserInfo エンドポイントを自動呼び出し
     * 追加で取得したいスコープ（groups, custom_claim 等）を指定可能
     */
    @Bean
    public OAuth2UserService<OidcUserRequest, OidcUser> oidcUserService() {
        OidcUserService delegate = new OidcUserService();

        // UserInfo エンドポイントから追加で取得するスコープを指定
        delegate.setAccessibleScopes(Set.of("profile", "email", "groups"));

        return userRequest -> {
            // 標準の OidcUser 生成処理を実行
            OidcUser oidcUser = delegate.loadUser(userRequest);

            // 独自クレームからロールを生成する例
            Set<GrantedAuthority> authorities = new HashSet<>(oidcUser.getAuthorities());
            List<String> groups = oidcUser.getClaimAsStringList("groups");
            if (groups != null) {
                groups.stream()
                    .map(g -> new SimpleGrantedAuthority("ROLE_" + g.toUpperCase()))
                    .forEach(authorities::add);
            }

            return new DefaultOidcUser(
                authorities,
                oidcUser.getIdToken(),
                oidcUser.getUserInfo()
            );
        };
    }
}

spring:
  security:
    oauth2:
      client:
        registration:
          cognito:
            client-id: YOUR_COGNITO_APP_CLIENT_ID
            client-secret: YOUR_COGNITO_APP_CLIENT_SECRET
            scope:
              - openid
              - email
              - profile
        provider:
          cognito:
            # リージョンと User Pool ID を変更するだけ
            issuer-uri: https://cognito-idp.ap-northeast-1.amazonaws.com/ap-northeast-1_XXXXXXXX

      resourceserver:
        jwt:
          jwk-set-uri: https://cognito-idp.ap-northeast-1.amazonaws.com/ap-northeast-1_XXXXXXXX/.well-known/jwks.json