记录一个小坑spring security oauth2的cli

按照网上介绍的文章应该很好配置，但是发现配置完后，获取到token，再去调用受保护的api，发现传不传token都能调用，这就奇怪了。 原来使用的是springboot 1.5.x造成的，需要配置过滤器链顺序。

问题记录：
1、记得配置允许表单提交认证。

      @Override
        public void configure(AuthorizationServerSecurityConfigurer oauthServer) throws Exception {
            //允许表单认证
            oauthServer.allowFormAuthenticationForClients();
        }

2、springboot 1.3.x~1.5.x 需要配置过滤器链的顺序，不然就无需认证也能正常访问了。
resources 目录下新建application.yml 配置如下：

security:
  oauth2:
    resource:
      filter-order: 3

也有优雅的解决方式：@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
https://stackoverflow.com/questions/42822875/springboot-1-5-x-security-oauth2

springSecurity 的设计：一次请求，只会被 FilterProxyChain 中的最多一个过滤器链处理。

org.springframework.security.web.FilterChainProxy

    private List<Filter> getFilters(HttpServletRequest request) {
        for (SecurityFilterChain chain : filterChains) {
            if (chain.matches(request)) {
                return chain.getFilters();
            }
        }

        return null;
    }

QQ20180529-105206.png
特别感谢这篇文章：
https://github.com/lexburner/oauth2-demo