SpringSecurity进阶：OAuth2

于 2024-06-18 01:46:15 发布
阅读量296 收藏 4
点赞数 3
文章标签： github linux 前端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_85767131/article/details/139758233
版权

SpringSecurity进阶：OAuth2.0详解

SpringSecurity进阶：OAuth2.0详解

授权方式第一种: 授权码 (最安全使用最多的方式)

=========================

这种方式合适存在后端平台

存在这么一个资源(扣扣头像)和资源拥有者(扣扣号主), 现在喝了么(假设需要授权的平台)需要获取扣扣人头像。

那么现在的步骤是

获取access token 请求

获取access token

放在实际体验上就是

  • 用户同意授权服务器生成token

喝了么想到获得扣扣的授权, 所以组合了个扣扣的网址访问

koukou.com/oauth/autho…

这里有几个参数需要喝了么平台的开发人员提供:

response_type ==> 表示要求返回授权码code

client_id ==> 让扣扣平台知道是谁在访问授权服务器(这个需要去扣扣开发者平台)

redirect_uri ==> 这是扣扣授权完成后跳转到喝了么的网站 比如：

https://heleme.com/callback?code=AUTHORIZATION_CODE 这个网址在controller里面写好了, 参数必须和扣扣官方给的网址一样

scope ==> 表示授权权限, 比如只读或者读写之类

打开上面的网站后, 会打开扣扣的平台要求扫码登入(这里就是用户是否同意授权步骤)，如果扫码成功授权登入则会使用前面的redirect_uri这个参数填写的网址,但参数code的值AUTHORIZATION_CODE将会被扣扣平台改写成扣扣授权服务器生成的code(这个 code 就是授权码) 假设这里拿到的授权码是 123456

授权码的作用就是让扣扣用户同意授权服务器生成token的请求

至此喝了么已经拿
到了授权码接下来就是oauth授权获取token的过程了

  • 喝了么获得授权码后拿着授权码再次去找授权服务器拿token

koukou.com/oauth/token…

client_id ==> 客户的id

client_secret ==> 扣扣开发平台可以获得这个参数, 主要用于扣扣识别用户喝了么

grant_type ==> 固定authorization_code, 表示使用授权码类型获取token

code ==> 授权码, 前面已经拿到了直接填上123456

redirect_uri ==> 重定向到喝了么平台获取token的网址(这个网址就是controller上写, 参数必须和扣扣官方给的网址一样)

等到获取token任务完成后, 就会自动跳转到喝了么重定向网址, 并向这个网址发送JSON数据, 里面存放着token

{

“access_token”:“ACCESS_TOKEN”,

“token_type”:“bearer”,

“expires_in”:2592000,

“refresh_token”:“REFRESH_TOKEN”,

“scope”:“read”,

“uid”:100101,

“info”:{…}

}

复制代码

此时喝了么就拿到了ACCESS_TOKEN, 接下来, 我们就可以借助这个token完成我们所需要的任务

授权方式第二种: 简化模式

=============

简化模式主要用于前端与前端之间的token授权, 这种模式没有后端

还是喝了么和扣扣之间的关系, 喝了么需要借助扣扣帐号进行授权

koukou.com/oauth/autho…

参数1: response_type 一般填写token就可以了

参数2: client_id 一般是开发平台获取

参数3: redirect_uri 主要是重定向的地址, 如果扣扣平台授权完毕之后将会跳转到喝了么提供的重定向网址, 并且扣扣平台会修改重定向地址的参数, 将token放入到参数中

参数4: scope token拥有的权限, 只读 只写 或者 读写

heleme.com/callback#to…

这是redirect_uri重定向的地址, 参数token=ACCESS_TOKEN, 这里的ACCESS_TOKEN有扣扣平台提供

至此我们就可以在java中的controller中获取到access_token, 将它存储下来便可, 以后某些操作需要带上token即可

授权方式第三种: 密码模式

=============

这种模式合适公司内部使用, 因为需要暴露用户名和密码

这种模式资源拥有者直接将用户名和密码给客户端, 客户端使用用户名密码登入授权服务器, 授权服务器验证并返回access token给客户端

这种模式一般使用在企业内部

授权方式第四种: 客户端模式

==============

客户端将认证信息发送给授权服务器, 授权服务器返回access token

一般使用在机器对机器之间的联系, 没有资源拥有者角色

刷新令牌

2401_85767131
关注
Spring Security 中文教程.pdf
12-06
序言 I. 入门 1. 介绍 1.1. Spring Security是什么？ 1.2. 历史 1.3. 发行版本号 1.4. 获得Spring Security 1.4.1. 项目模块 1.4.1.1. Core - spring-security-core.jar 1.4.1.2. Web - spring-security-web.jar 1.4.1.3. Config - spring-security-config.jar 1.4.1.4. LDAP - spring-security-ldap.jar 1.4.1.5. ACL - spring-security-acl.jar 1.4.1.6. CAS - spring-security-cas-client.jar 1.4.1.7. OpenID - spring-security-openid.jar 1.4.2. 获得源代码 2. Security命名空间配置 2.1. 介绍 2.1.1. 命名空间的设计 2.2. 开始使用安全命名空间配置 2.2.1. 配置web.xml 2.2.2. 最小 <http> 配置 2.2.2.1. auto-config 包含了什么？ 2.2.2.2. 表单和基本登录选项 2.2.3. 使用其他认证提供器 2.2.3.1. 添加一个密码编码器 2.3. 高级web特性 2.3.1. Remember-Me认证 2.3.2. 添加HTTP/HTTPS信道安全 2.3.3. 会话管理 2.3.3.1. 检测超时 2.3.3.2. 同步会话控制 2.3.3.3. 防止Session固定攻击 2.3.4. 对OpenID的支持 2.3.4.1. 属性交换 2.3.5. 添加你自己的filter 2.3.5.1. 设置自定义 AuthenticationEntryPoint 2.4. 保护方法 2.4.1. <global-method-security> 元素 2.4.1.1. 使用protect-pointcut 添加安全切点 2.5. 默认的AccessDecisionManager 2.5.1. 自定义AccessDecisionManager 2.6. 验证管理器和命名空间 3. 示例程序 3.1. Tutorial示例 3.2. Contacts 3.3. LDAP例子 3.4. CAS例子 3.5. Pre-Authentication例子 4. Spring Security社区 4.1. 任务跟踪 4.2. 成为参与者 4.3. 更多信息 II. 结构和实现 5. 技术概述 5.1. 运行环境 5.2. 核心组件 5.2.1. SecurityContextHolder, SecurityContext 和 Authentication对象 5.2.1.1. 获得当前用户的信息 5.2.2. UserDetailsService 5.2.3. GrantedAuthority 5.2.4. 小结 5.3. 验证 5.3.1. 什么是Spring Security的验证呢？ 5.3.2. 直接设置SecurityContextHolder的内容 5.4. 在web应用中验证 5.4.1. ExceptionTranslationFilter 5.4.2. AuthenticationEntryPoint 5.4.3. 验证机制 5.4.4. 在请求之间保存SecurityContext 。 5.5. Spring Security中的访问控制（验证） 5.5.1. 安全和AOP建议 5.5.2. 安全对象和AbstractSecurityInterceptor 5.5.2.1. 配置属性是什么？ 5.5.2.2. RunAsManager 5.5.2.3. AfterInvocationManager 5.5.2.4. 扩展安全对象模型 5.6. 国际化 6. 核心服务 6.1. The AuthenticationManager , ProviderManager 和 AuthenticationProvider s 6.1.1. DaoAuthenticationProvider 6.2. UserDetailsService 实现 6.2.1. 内存认证 6.2.2. JdbcDaoImpl 6.2.2.1. 权限分组 6.3. 密码加密 6.3.1. 什么是散列加密？ 6.3.2. 为散列加点儿盐 6.3.3. 散列和认证 III. web应用安全 7. 安全过滤器链 7.1. DelegatingFilterProxy 7.2. FilterChainProxy 7.2.1. 绕过过滤器链 7.3. 过滤器顺序 7.4. 使用其他过滤器 —— 基于框架 8. 核心安全过滤器 8.1. FilterSecurityInterceptor 8.2. ExceptionTranslationFilter 8.2.1. AuthenticationEntryPoint 8.2.2. AccessDeniedHandler 8.3. SecurityContextPersistenceFilter 8.3.1. SecurityContextRepository 8.4. UsernamePasswordAuthenticationFilter 8.4.1. 认证成功和失败的应用流程 9. Basic（基本）和Digest（摘要）验证 9.1. BasicAuthenticationFilter 9.1.1. 配置 9.2. DigestAuthenticationFilter 9.2.1. Configuration 10. Remember-Me认证 10.1. 概述 10.2. 简单基于散列标记的方法 10.3. 持久化标记方法 10.4. Remember-Me接口和实现 10.4.1. TokenBasedRememberMeServices 10.4.2. PersistentTokenBasedRememberMeServices 11. 会话管理 11.1. SessionManagementFilter 11.2. SessionAuthenticationStrategy 11.3. 同步会话 12. 匿名认证 12.1. 概述 12.2. 配置 12.3. AuthenticationTrustResolver IV. 授权 13. 验证架构 13.1. 验证 13.2. 处理预调用 13.2.1. AccessDecisionManager 13.2.2. 基于投票的AccessDecisionManager实现 13.2.2.1. RoleVoter 13.2.2.2. AuthenticatedVoter 13.2.2.3. Custom Voters 13.3. 处理后决定 14. 安全对象实现 14.1. AOP联盟 (MethodInvocation) 安全拦截器 14.1.1. 精确的 MethodSecurityIterceptor 配置 14.2. AspectJ (JoinPoint) 安全拦截器 15. 基于表达式的权限控制 15.1. 概述 15.1.1. 常用内建表达式 15.2. Web 安全表达式 15.3. 方法安全表达式 15.3.1. @Pre 和 @Post 注解 15.3.1.1. 访问控制使用 @PreAuthorize 和 @PostAuthorize 15.3.1.2. 过滤使用 @PreFilter 和 @PostFilter 16. acegi到spring security的转换方式 16.1. Spring Security是什么 16.2. 目标 16.3. 步骤 16.4. 总结 V. 高级话题 17. 领域对象安全(ACLs) 17.1. 概述 17.2. 关键概念 17.3. 开始 18. 预认证场景 18.1. 预认证框架类 18.1.1. AbstractPreAuthenticatedProcessingFilter 18.1.2. AbstractPreAuthenticatedAuthenticationDetailsSource 18.1.2.1. J2eeBasedPreAuthenticatedWebAuthenticationDetailsSource 18.1.3. PreAuthenticatedAuthenticationProvider 18.1.4. Http403ForbiddenEntryPoint 18.2. 具体实现 18.2.1. 请求头认证（Siteminder） 18.2.1.1. Siteminder示例配置 18.2.2. J2EE容器认证 19. LDAP认证 19.1. 综述 19.2. 在Spring Security里使用LDAP 19.3. 配置LDAP服务器 19.3.1. 使用嵌入测试服务器 19.3.2. 使用绑定认证 19.3.3. 读取授权 19.4. 实现类 19.4.1. LdapAuthenticator实现 19.4.1.1. 常用功能 19.4.1.2. BindAuthenticator 19.4.1.3. PasswordComparisonAuthenticator 19.4.1.4. 活动目录认证 19.4.2. 链接到LDAP服务器 19.4.3. LDAP搜索对象 19.4.3.1. FilterBasedLdapUserSearch 19.4.4. LdapAuthoritiesPopulator 19.4.5. Spring Bean配置 19.4.6. LDAP属性和自定义UserDetails 20. JSP标签库 20.1. 声明Taglib 20.2. authorize 标签 20.3. authentication 标签 20.4. accesscontrollist 标签 21. Java认证和授权服务（JAAS）供应器 21.1. 概述 21.2. 配置 21.2.1. JAAS CallbackHandler 21.2.2. JAAS AuthorityGranter 22. CAS认证 22.1. 概述 22.2. CAS是如何工作的 22.3. 配置CAS客户端 23. X.509认证 23.1. 概述 23.2. 把X.509认证添加到你的web系统中 23.3. 为tomcat配置SSL 24. 替换验证身份 24.1. 概述 24.2. 配置 A. 安全数据库表结构 A.1. User表 A.1.1. 组权限 A.2. 持久登陆（Remember-Me）表 A.3. ACL表 A.3.1. Hypersonic SQL A.3.1.1. PostgreSQL B. 安全命名空间 B.1. Web应用安全 - <http> 元素 B.1.1. <http> 属性 B.1.1.1. servlet-api-provision B.1.1.2. path-type B.1.1.3. lowercase-comparisons B.1.1.4. realm B.1.1.5. entry-point-ref B.1.1.6. access-decision-manager-ref B.1.1.7. access-denied-page B.1.1.8. once-per-request B.1.1.9. create-session B.1.2. <access-denied-handler> B.1.3. <intercept-url> 元素 B.1.3.1. pattern B.1.3.2. method B.1.3.3. access B.1.3.4. requires-channel B.1.3.5. filters B.1.4. <port-mappings> 元素 B.1.5. <form-login> 元素 B.1.5.1. login-page B.1.5.2. login-processing-url B.1.5.3. default-target-url B.1.5.4. always-use-default-target B.1.5.5. authentication-failure-url B.1.5.6. authentication-success-handler-ref B.1.5.7. authentication-failure-handler-ref B.1.6. <http-basic> 元素 B.1.7. <remember-me> 元素 B.1.7.1. data-source-ref B.1.7.2. token-repository-ref B.1.7.3. services-ref B.1.7.4. token-repository-ref B.1.7.5. key 属性 B.1.7.6. token-validity-seconds B.1.7.7. user-service-ref B.1.8. <session-management> 元素 B.1.8.1. session-fixation-protection B.1.9. <concurrent-control> 元素 B.1.9.1. max-sessions 属性 B.1.9.2. expired-url 属性 B.1.9.3. error-if-maximum-exceeded 属性 B.1.9.4. session-registry-alias 和session-registry-ref 属性 B.1.10. <anonymous> 元素 B.1.11. <x509> 元素 B.1.11.1. subject-principal-regex 属性 B.1.11.2. user-service-ref 属性 B.1.12. <openid-login> 元素 B.1.13. <logout> 元素 B.1.13.1. logout-url 属性 B.1.13.2. logout-success-url 属性 B.1.13.3. invalidate-session 属性 B.1.14. <custom-filter> 元素 B.2. 认证服务 B.2.1. <authentication-manager> 元素 B.2.1.1. <authentication-provider>元素 B.2.1.2. 使用 <authentication-provider> 来引用一个 AuthenticationProvider Bean B.3. 方法安全 B.3.1. <global-method-security> 元素 B.3.1.1. secured-annotations 和jsr250-annotations 属性 B.3.1.2. 安全方法使用<protect-pointcut> B.3.1.3. <after-invocation-provider> 元素 B.3.2. LDAP命名空间选项 B.3.2.1. 使用<ldap-server> 元素定义LDAP服务器 B.3.2.2. <ldap-provider> 元素 B.3.2.3. <ldap-user-service> 元素
Spring Security——OAuth2.0
热门推荐
代码星辰的博客
10-06 1万+
Spring Security——OAuth2.0
SpringSecurity+OAuth2.0
weixin_46301906的博客
07-07 6220
OAuth（Open Authorization）是一个关于授权（authorization）的开放网络标准，允许用户授权第三方应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他们数据的所有内容。OAuth 在全世界得到广泛应用，目前的版本是 2.0 版。简单：不管是 OAuth 服务提供者还是应用开发者，都很易于理解与使用。安全：没有涉及到用户密钥等信息，更安全更灵活。开放：任何服务提供商都可以实现 OAuth，任何软件开发商都可以使用 OAuth。Resour
SpringSecurity整合OAuth2.0
玩转Java
12-10 1万+
springsecurity整合aoth2.0
开工福利|2022年原创Spring Security干货教程PDF来了
码农小胖哥
02-08 1148
去年发布了2021年的开工福利，累计下载量已经超8000次（仅仅统计我自己的链接），帮助了很多开发者。明天是胖哥开工的日子，当然也要给大家发个福利。经过一年多的迭代，Spring Secu...
【SpringBoot】之Security进阶使用
最新发布
12-21
10. **RESTful服务的安全**：对于API的保护，Spring Security提供了支持OAuth2和JWT的机制，以安全地暴露RESTful服务。 11. **安全测试**：Spring Security还提供了测试工具和模拟用户类，方便在单元测试和集成测试...
spring 进阶学习内容和指导路线
04-16
- **OAuth2支持**：实现社交登录和第三方API访问的安全控制。 6. **Spring Cloud**： - **服务发现**：Eureka、Consul等服务注册与发现，支持微服务间的通信。 - **负载均衡**：Ribbon、Zuul等实现客户端和...
oauth2.rar
03-26
Spring Boot 提供了与OAuth2集成的便捷方式，通过Spring Security模块可以轻松配置OAuth2服务器和客户端。在这个项目中，开发人员选择了内存模式，这意味着所有权限和认证信息都存储在内存中，而不是持久化到数据库...
ggj-spring-security
07-29
从压缩包子文件"SpringSecurity（6）.zip"的命名推测，这可能是系列教程或案例研究的第六部分，可能涉及到更深入的安全策略或特定场景的应用。 3. **SanGeng_Security_Project.zip** 另一个压缩文件"Sangeng_...
SpringSecurity 中文文档+简单视频教程
04-08
8. **进阶主题**：可能还会涉及SpringBoot集成、OAuth2整合、JWT令牌、SAML身份验证等高级话题。 通过这份中文文档和视频教程，开发者可以从理论到实践全面掌握SpringSecurity，从而在实际项目中更好地保障应用的...
SpringSecurity进阶：OAuth2.0详解
Java圈全能架构师的博客
02-01 796
OAuth2是什么? OAuth是一个为了方便用户登入而使用的授权流程，他的优点是不需要向第三方平台暴露我们的用户名和密码，而是使用授权服务器颁发短期的token和效验token的方式开放部分资源给第三方平台 OAuth是一个授权协议不是认证协议 OAuth2的授权方式 授权方式第一种: 授权码 (最安全使用最多的方式) 这种方式合适存在后端平台 存在这么一个资源(扣扣头像)和资源拥有者(扣扣号主), 现在喝了么(假设需要授权的平台)需要获取扣扣人头像。 那么现在...
【Spring security】oauth2.0介绍
u014416842的博客
05-05 1992
OAuth2.0介绍 OAuth 2.0是用于授权的行业标准协议，允许用户让第三方应用访问该用户在某一网站受保护的资源（比如user API），而无需将用户名和密码提供给第三方应用。OAuth 2.0专注于简化客户端开发，同时为web应用程序、桌面应用程序、移动电话和客厅设备提供特定的授权流程。 角色划分 resource owner：资源所有者，能够授予第三方应用访问特定保护资源的权限。 当资源所有者是个人时，它是被称为最终用户。 resource server: 资源服务器，受保护的资源一般通过..
Spring Security + OAuth2.0
zk86547462的博客
02-17 4871
授权服务器 授权服务器中有4个端点。说明如下： Authorize Endpoint ：授权端点，进行授权。 Token Endpoint ：令牌端点，经过授权拿到对应的Token。 lntrospection Endpoint ：校验端点，校验Token的合法性。 Revocation Endpoint ：撤销端点，撤销授权。 Spring Security Oauth2架构 说明如下： 用户访问，此时没有Token。Oauth2RestTemplate会报错，这个报错信息会被Oauth2Cli
Spring Security系列教程29--OAuth2.0协议详解
一一哥
11-05 2559
前言 截止到现在，一一哥 已经带各位把Spring Security中的主要功能学完了，并且剖析了这些内容的底层实现原理，希望你可以有所收获。 但是在安全认证领域，还有另一种很重要的授权机制---OAuth2.0开放授权。而且OAuth2.0开放授权与Spring Security经常配合使用，这两者之间可以说是“焦不离孟，孟不离焦”的搭配关系，所以为了进一步掌握Spring Security，在这里 壹哥 给大家再介绍另一个OAuth2.0开放授权协议。 OAuth2.0开放授权并不是Spring
OAuth2.0 - 介绍与使用 及 授权码模式讲解
小毕超博客
01-16 6236
一、OAuth2.0 前面我们已经学习了SpringSecurity在SpringMVC环境下和WebFlux环境下用户认证授权以及整合JWT作为Token无状态认证授权，但是在前面的演示中都会发现全都是基于单体项目而言的，现在分布式微服务的环境下难不成还要每个服务都做一套自己的认证授权吗？ 今天我们要讲解的OAuth2.0便可以解决分布式环境下的统一认证授权，我们要学习的是Spring推出的Spring-Oauth2.0框架，可以完美的和SpringBoot 以及 SpringCloud进行整合，而不需要
Spring Security OAuth 2.0
weixin_46894136的博客
07-15 2475
OAuth2通常用于构建安全的API和Web应用程序，使用户能够授权其他应用程序访问其数据，同时提供了更好的安全性和用户控制。除了OAuth2之外，Spring Security还提供了其他身份验证和授权机制的支持，例如基于表单的身份验证和基于角色的授权。OAuth 2.0是一种授权框架，提供了一套规范和协议，用于实现授权流程和访问令牌的管理，而非单个的授权协议。简化模式的优点是简单易用，适用于客户端是浏览器的应用程序，但缺点是安全性较低，因为访问令牌直接传递给浏览器，容易被恶意攻击者截获。
SpringBoot集成Oauth2.0（密码模式）
m0_71817461的博客
07-03 4586
SpringBoot集成Oauth2.0（密码模式）
spring security （史上最全）
架构师尼恩
04-21 6363
一般意义来说的应用访问安全性，都是围绕认证（Authentication）和授权（Authorization）这两个核心概念来展开的。即：认证这块的解决方案很多，主流的有、、等（不巧这几个都用过-_-），我们常说的单点登录方案（SSO）说的就是这块，授权的话主流的就是spring security和shiro。shiro比较轻量级，相比较而言spring security确实架构比较复杂。但是shiro与 ss，掌握一个即可。这里尼恩给大家做一下系统化、体系化的梳理，供后面的小伙伴参考，提升大家的 3高 架
springsecurity oauth2.0
warrah 南极狼
02-08 3761
参考了Springboot2+SpringSecurity+Oauth2+Mysql数据库实现持久化客户端数据 1 基本环境搭建 1.1 数据库脚本 数据库脚本从官方spring-security-oauth中获取，根据你需要创建对应的表.我这里用到了下面几张表。 1.2 ouath2.0相关jar 引入对应的jar,与security和oauth2.0相关的 <!--security oauth2.0配置--> <dependency>
最新升级版Spring Security+OAuth2企业级认证与授权教程
资源摘要信息:"《Spring Security+OAuth2 精讲，打造企业级认证与授权》课程深入解析了使用Spring Security和OAuth2框架构建企业级认证与授权系统的实践方法。Spring Security是一个强大的、可高度定制的身份验证和...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值