如何仅在 Spring Security OAuth2 中允许从客户端访问资源？

Question

我使用 Spring-Boot 和 Spring Security OAuth2 开发了一个简单的 web 应用程序，我想只允许从客户端应用程序访问所有资源。有些资源需要客户端进行身份验证，而有些则不需要。

我有以下配置：

@Configuration
@EnableResourceServer
protected static class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.requestMatchers()
            .and()
            .authorizeRequests()
            .antMatchers("/account/**").permitAll()
            .antMatchers("/user/**").access("#oauth2.hasScope('read')")
            .antMatchers("/transaction/**").access("#oauth2.hasScope('read')");
    }

}

@Configuration
@EnableAuthorizationServer
protected static class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
        endpoints.authenticationManager(authenticationManager);
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
            .withClient("my-trusted-client")
            .authorizedGrantTypes("authorization_code", "password", "refresh_token")
            .authorities("ROLE_CLIENT", "ROLE_TRUSTED_CLIENT")
            .scopes("read", "write", "trust")
            .accessTokenValiditySeconds(3600);
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security.allowFormAuthenticationForClients();
    }

}

我想要做的是资源“/account/**”，它不应该要求客户端进行身份验证，但仍然只允许通过客户端进行访问。

对于其他资源，它只允许通过客户端访问，并且也必须进行身份验证。

不幸的是，在上面的当前设置中，我仍然可以从客户端外部访问“/account/**”。

感谢任何帮助。

更新 1

我忘记包含的其他信息，我使用的是 grant_type 密码。

所以我想要的是这个。例如：

/account - 只能通过 client_id/client_secret 访问。不需要用户进行身份验证，这意味着用户不需要访问令牌。

/user - 只能通过 client_id/client_secret 访问。并要求用户进行身份验证，这意味着用户必须具有访问令牌。

我所指的客户端是具有 client_id 和 client_secret 的移动应用程序。

如果我还不清楚，请告诉我。

Answer 1

然后是这样的：

.authorizeRequests()
   .antMatchers("/account/**").access("#oauth2.isClient()")
   .antMatchers("/user/**").access("#oauth2.isUser() && #oauth2.hasScope('read')")