Implementare la Validazione Automatica dei Parametri di Accesso Tier 2 in Applicazioni Web Italiane: Un Processo Esperto e Dettagliato

Implementazione Pratica su Framework Web: Spring Boot + Ory Policy Engine

La configurazione in Spring Boot segue un modello a pipeline:

Fase 1: Setup Keycloak come Identity Provider
Configurare Keycloak con dominio `https://auth.it.gov.it`, creare client OAuth2 con scope `access_token`, ruolo `user` o `admin`, e abilitare JWT con claims personalizzati:
{
“realms”: { “it-identity”: { “realmType”: “local”, “auth”: { “realm”: “it-identity”, “realmSecret”: “…”, “accessTokenValidity”: “30m” } } },
“clients”: [ { “clientId”: “spring-boot-app”, “redirectUris”: [ “http://localhost:8080/login/oauth2/redirect” ], “scopes”: [“openid”, “profile”, “email”], “authorizationGrantType”: “authorization_code” } ],
“users”: { “it-federated”: { “preferredUsername”: “utente-it”, “name”: “Mario Rossi”, “roles”: [“user”], “jwts”: “eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx” } }
}

Fase 2: Middleware Validation in Spring Security
Creare un filtro personalizzato `JwtValidationFilter` che estrae token, verifica firma con chiave pubblica Keycloak, controlla issuer e scadenza, e applica policy Ory:
@Component
public class JwtValidationFilter extends OncePerRequestFilter {
private final OryPolicyEngine policyEngine;

public JwtValidationFilter(OryPolicyEngine policyEngine) { this.policyEngine = policyEngine; }

@Override
protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain)
throws ServletException, IOException {
String token = extractToken(request);
if (!policyEngine.authorize(token, request.getUserPrincipal(), request.getRemoteAddr(), “cartella-sanitaria”)) {
response.sendError(HttpServletResponse.SC_FORBIDDEN, “Accesso negato: policy negata”);
return;
}
filterChain.doFilter(request, response);
}
}

Fase 3: Definizione Dinamica delle Policy JSON
Esempio policy Ory in formato YAML per accesso sanitario:
role: medico
scope: cartella-sanitaria
exp: 1710000000
iss: https://auth.it.gov.it
geo: IT

Questa policy viene caricata dinamicamente da un endpoint API o file config, aggiornabile via CI/CD per adattarsi a normative mutevoli.