Spring-security-oauth2权限框架使用RedisTokenStore的坑和跨坑

最新推荐文章于 2024-09-12 09:51:52 发布
最新推荐文章于 2024-09-12 09:51:52 发布
阅读量7.4k 收藏
点赞数 1
分类专栏： li 框架搭建问题汇总 Java框架捣鼓
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ccren/article/details/103227845
版权

RedisTokenStore tokenStore = new RedisTokenStore(redisConnectionFactory);

在spring-security-oauth2鉴权框架中，使用redis存储令牌时，涉及序列化和反序列化，

RedisTokenStore内置JdkSerializationStrategy，通过ALLOWED_CLASSES只有限制了支持反序列化的类型，然后就是抛一堆异常如下：

org.springframework.core.serializer.support.SerializationFailedException: Failed to deserialize payload; nested exception is java.io.NotSerializableException: Not allowed to deserialize xx.xx.xx.xx.data.JsonSupportObject
    at org.springframework.security.oauth2.provider.token.store.redis.JdkSerializationStrategy.deserializeInternal(JdkSerializationStrategy.java:66)
    at org.springframework.security.oauth2.provider.token.store.redis.BaseRedisTokenStoreSerializationStrategy.deserialize(BaseRedisTokenStoreSerializationStrategy.java:21)
    at org.springframework.security.oauth2.provider.token.store.redis.RedisTokenStore.deserializeAuthentication(RedisTokenStore.java:92)
    at org.springframework.security.oauth2.provider.token.store.redis.RedisTokenStore.readAuthentication(RedisTokenStore.java:146)
    at org.springframework.security.oauth2.provider.token.store.redis.RedisTokenStore.readAuthentication(RedisTokenStore.java:134)
    at xx.xx.xx.xx.xx.xx.service.impl.SyncDefaultTokenServices.loadAuthentication(SyncDefaultTokenServices.java:231)
    at xx.xx.xx.xx.xx.xx.service.impl.SyncDefaultTokenServices$$FastClassBySpringCGLIB$$e5d5e38e.invoke(<generated>)
    at org.springframework.cglib.proxy.MethodProxy.invoke(MethodProxy.java:218)
    at org.springframework.aop.framework.CglibAopProxy$CglibMethodInvocation.invokeJoinpoint(CglibAopProxy.java:750)
    at org.springframework.aop.framework.ReflectiveMethodInvocation.proceed(ReflectiveMethodInvocation.java:163)
    at org.springframework.aop.aspectj.MethodInvocationProceedingJoinPoint.proceed(MethodInvocationProceedingJoinPoint.java:88)
    at xx.xx.xx.xx.xx.xx.springboot.aop.aspect.LogWebStackAspect.arroundLogicMethod(LogWebStackAspect.java:67)
    at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)
    at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62)
    at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
    at java.lang.reflect.Method.invoke(Method.java:498)
    at org.springframework.aop.aspectj.AbstractAspectJAdvice.invokeAdviceMethodWithGivenArgs(AbstractAspectJAdvice.java:644)
    at org.springframework.aop.aspectj.AbstractAspectJAdvice.invokeAdviceMethod(AbstractAspectJAdvice.java:633)
    at org.springframework.aop.aspectj.AspectJAroundAdvice.invoke(AspectJAroundAdvice.java:70)
    at org.springframework.aop.framework.ReflectiveMethodInvocation.proceed(ReflectiveMethodInvocation.java:186)
    at org.springframework.aop.interceptor.ExposeInvocationInterceptor.invoke(ExposeInvocationInterceptor.java:93)
    at org.springframework.aop.framework.ReflectiveMethodInvocation.proceed(ReflectiveMethodInvocation.java:186)
    at org.springframework.aop.framework.CglibAopProxy$DynamicAdvisedInterceptor.intercept(CglibAopProxy.java:689)
    at xx.xx.xx.xx.xx.SyncDefaultTokenServices$$EnhancerBySpringCGLIB$$400aeeb1.loadAuthentication(<generated>)
    at org.springframework.security.oauth2.provider.authentication.OAuth2AuthenticationManager.authenticate(OAuth2AuthenticationManager.java:83)
    at org.springframework.security.oauth2.provider.authentication.OAuth2AuthenticationProcessingFilter.doFilter(OAuth2AuthenticationProcessingFilter.java:150)
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:334)
    at org.springframework.security.web.authentication.logout.LogoutFilter.doFilter(LogoutFilter.java:116)
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:334)
    at org.springframework.security.web.header.HeaderWriterFilter.doFilterInternal(HeaderWriterFilter.java:74)
    at org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:119)
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:334)
    at org.springframework.security.web.context.SecurityContextPersistenceFilter.doFilter(SecurityContextPersistenceFilter.java:105)
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:334)
    at org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter.doFilterInternal(WebAsyncManagerIntegrationFilter.java:56)
    at org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:119)
    at org.springframework.security.web.FilterChainProxy$VirtualFilterChain.doFilter(FilterChainProxy.java:334)
    at org.springframework.security.web.FilterChainProxy.doFilterInternal(FilterChainProxy.java:215)
    at org.springframework.security.web.FilterChainProxy.doFilter(FilterChainProxy.java:178)
    at org.springframework.web.filter.DelegatingFilterProxy.invokeDelegate(DelegatingFilterProxy.java:358)
    at org.springframework.web.filter.DelegatingFilterProxy.doFilter(DelegatingFilterProxy.java:271)
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:193)
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:166)
    at org.springframework.web.filter.RequestContextFilter.doFilterInternal(RequestContextFilter.java:100)
    at org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:119)
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:193)
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:166)
    at org.springframework.web.filter.FormContentFilter.doFilterInternal(FormContentFilter.java:93)
    at org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:119)
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:193)
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:166)
    at org.springframework.web.filter.HiddenHttpMethodFilter.doFilterInternal(HiddenHttpMethodFilter.java:94)
    at org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:119)
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:193)
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:166)
    at org.springframework.web.filter.CharacterEncodingFilter.doFilterInternal(CharacterEncodingFilter.java:201)
    at org.springframework.web.filter.OncePerRequestFilter.doFilter(OncePerRequestFilter.java:119)
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:193)
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:166)
    at xx.xx.xx.xx.xx.filter.CacheMemoryRequestFilter.doFilter(CacheMemoryRequestFilter.java:40)
    at org.apache.catalina.core.ApplicationFilterChain.internalDoFilter(ApplicationFilterChain.java:193)
    at org.apache.catalina.core.ApplicationFilterChain.doFilter(ApplicationFilterChain.java:166)
    at org.apache.catalina.core.StandardWrapperValve.invoke(StandardWrapperValve.java:202)
    at org.apache.catalina.core.StandardContextValve.invoke(StandardContextValve.java:96)
    at org.apache.catalina.authenticator.AuthenticatorBase.invoke(AuthenticatorBase.java:526)
    at org.apache.catalina.core.StandardHostValve.invoke(StandardHostValve.java:139)
    at org.apache.catalina.valves.ErrorReportValve.invoke(ErrorReportValve.java:92)
    at org.apache.catalina.core.StandardEngineValve.invoke(StandardEngineValve.java:74)
    at org.apache.catalina.connector.CoyoteAdapter.service(CoyoteAdapter.java:343)
    at org.apache.coyote.http11.Http11Processor.service(Http11Processor.java:408)
    at org.apache.coyote.AbstractProcessorLight.process(AbstractProcessorLight.java:66)
    at org.apache.coyote.AbstractProtocol$ConnectionHandler.process(AbstractProtocol.java:861)
    at org.apache.tomcat.util.net.NioEndpoint$SocketProcessor.doRun(NioEndpoint.java:1579)
    at org.apache.tomcat.util.net.SocketProcessorBase.run(SocketProcessorBase.java:49)
    at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1142)
    at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:617)
    at org.apache.tomcat.util.threads.TaskThread$WrappingRunnable.run(TaskThread.java:61)
    at java.lang.Thread.run(Thread.java:745)
Caused by: java.io.NotSerializableException: Not allowed to deserialize xx.xxx.xx.common.data.JsonSupportObject
    at org.springframework.security.oauth2.provider.token.store.redis.SaferObjectInputStream.resolveClass(SaferObjectInputStream.java:59)
    at java.io.ObjectInputStream.readNonProxyDesc(ObjectInputStream.java:1613)
    at java.io.ObjectInputStream.readClassDesc(ObjectInputStream.java:1518)
    at java.io.ObjectInputStream.readNonProxyDesc(ObjectInputStream.java:1623)
    at java.io.ObjectInputStream.readClassDesc(ObjectInputStream.java:1518)
    at java.io.ObjectInputStream.readOrdinaryObject(ObjectInputStream.java:1774)
    at java.io.ObjectInputStream.readObject0(ObjectInputStream.java:1351)
    at java.io.ObjectInputStream.defaultReadFields(ObjectInputStream.java:2000)
    at java.io.ObjectInputStream.readSerialData(ObjectInputStream.java:1924)
    at java.io.ObjectInputStream.readOrdinaryObject(ObjectInputStream.java:1801)
    at java.io.ObjectInputStream.readObject0(ObjectInputStream.java:1351)
    at java.io.ObjectInputStream.defaultReadFields(ObjectInputStream.java:2000)
    at java.io.ObjectInputStream.readSerialData(ObjectInputStream.java:1924)
    at java.io.ObjectInputStream.readOrdinaryObject(ObjectInputStream.java:1801)
    at java.io.ObjectInputStream.readObject0(ObjectInputStream.java:1351)
    at java.io.ObjectInputStream.readObject(ObjectInputStream.java:371)
    at org.springframework.security.oauth2.provider.token.store.redis.JdkSerializationStrategy.deserializeInternal(JdkSerializationStrategy.java:64)
    ... 77 common frames omitted

接下来触发spring框架异常处理

Caused by: java.lang.IllegalStateException: getInputStream() has already been called for this request

问题原因：

系统中扩展了

DefaultExpiringOAuth2RefreshToken

DefaultOAuth2AccessToken，但是RedisTokenStore的序列化类JdkSerializationStrategy只支持如下几种持久化对象

static {
        List<String> classes = new ArrayList<String>();
        classes.add("java.lang.");
        classes.add("java.util.");
        classes.add("org.springframework.security.");
        ALLOWED_CLASSES = Collections.unmodifiableList(classes);
    }

解决方法：

将JdkSerializationStrategy和SaferObjectInputStream的源码复制出来放在同一个包自己玩。
            RedisTokenStore tokenStore = new RedisTokenStore(redisConnectionFactory);
            tokenStore.setSerializationStrategy(new JdkSerializationStrategy());
            return tokenStore;

个人认为这种方式粗暴且快。o(^▽^)o

ccren
关注
专栏目录
springboot2.0.X使用spring security oauth2
qq_36344441的博客
01-30 948
最近收到一个任务使用spring security做一个oauth2的授权服务器和资源服务器，授权方式为Client_Credentials写一个demo，官方文档对这方面的描述比较少，官方项目中只有一个demo，是个spring项目，所有东西都存在了内存中，虽然他提供了Enable注解，因为我们要求的是client-id，client-secret等存入数据库把token存入redis，当然他官...
Spring security oauth2 以redis作为tokenstore及jackson序列化失败
KARL的移动码堡
09-10 4177
Spring security oauth2 tokenstore序列化失败前言一、TokenStore二、步骤1.配置和代码1.1环境1.2配置文件1.2.1 授权服务器配置文件1.2.2 资源服务器配置文件1.3 java代码1.3.1 授权服务器代码1.3.2 资源服务器代码2 测试总结 前言 项目当中需要用到鉴权的场景很多，一般会使用shiro或者spring security作为一个权限验证的框架，两个框架的优缺点这里就不比较了，都是看个人习惯。自己从搭建项目时就比较倾向于选择spring全家桶
spring security OAuth2 客户端接入gitee
最新发布
冬阳
09-12 1650
OAuth 是一个开放标准，该标准允许用户让第三方应用访问该用户在某一网站上存储的私密资源(如头像、照片、视频等)，并且在这个过程中无须将用户名和密码提供给第三方应用。通过令牌(token)可以实现这一功能，每一个令牌授权一个特定的网站在特定的时段内允许可特定的资源。0Auth让用户可以授权第三方网站灵活访问它们存储在另外一些资源服务器上的特定信息，而非所有内容。
反序列化失败 - oauth2: SerializationException Cannot deserialize ； JdkSerializationRedisSerializer
weixin_40455437的博客
11-23 779
该类的版本与序列化时的版本不兼容。服务进行序列化和反序列化。所以不存在上述的三个可能方案。更具体地说，问题出现在反序列化。进行序列化和反序列化，因此考虑是。回头仔细看日志，注意到这一段。的值确定不是该问题导致。缓存数据，问题解决。
springSecurity+redis反序列化失败--problem deserializing ‘setterless‘ property (“authorities“)
Memory_2020的博客
07-29 4528
springSecurity+redis反序列化失败，problem deserializing 'setterless' property ("authorities")：no way to handle typed deser with setterless yet
Spring Security Oauth2 返回非标准数据结构 OAuth2AccessToken 序列化问题
yuelangyc的专栏
03-06 5000
问题描述： 在Spring框架中，自定义配置了FastJsonHttpMessageConverter ，覆盖掉 MappingJackson2HttpMessageConverter，导致返回时 序列化出现问题。 预期： { "access_token": "f7d77b3f-61f1-4c1e-975e-c6b3bb5f244d", "token_type": "b...
spring-security-oauth2.rar
09-04
在当今的Web开发中，安全问题至关重要，Spring Security OAuth2提供了一套强大的框架，用于保护我们的应用程序和服务。本篇将深入探讨Spring Security OAuth2如何实现基于密码模式的用户登录以及如何使用数据库和...
springBoot-springSecurity-OAuth2
子笙的博客
01-16 1169
springBoot整合OAuth2示例及其代码
Spring Cloud整合SpringSecurity OAuth2(全网最强)
web15185420056的博客
06-12 1万+
本文是梳理整合SpringCloud和SpringSecurity OAuth2的搭建流程！好久没撸SpringSecurity OAuth2这系列代码了，都快忘了，特写此文章梳理脉络！开干！！！微服务版本 SpringSecurity OAuth2版本 通过微服务版本限定后spring-security-oauth2-autoconfigure的最终版本自动适配为2.1.2刚开始我这里就不一次性把一大堆配置放上来，需要什么就写什么，不然到时候都搞不清那个配置是干嘛，有什么用的！这也是我写这个文章的缘由！授
SpringBoot+Spring Security Oauth2实现客户端授权
热门推荐
qq_33460562的博客
02-23 4万+
框架使用SpringBoot + Spring Security Oauth2 主要完成了客户端授权 可以通过mysql数据库读取当前客户端表信息进行验证，token存储在数据库中 1.引入依赖 oauth2 依赖于spring security，需要引入spring， mysql，redis， mybatis &amp;amp;amp;amp;lt;dependencies&amp;amp;amp;amp;gt; &am
【Spring Security技术栈开发企业级认证与授权】-----------Spring Security OAuth开发APP认证框架
知识改变命运，ヾ(◍°∇°◍)ﾉﾞ【求关注】
07-04 320
博客分享JWT，令牌配置，JWT实现SSO单点登录
spring security oauth2 使用redis存token时报错
smollsnail的博客
01-02 9147
spring boot升到2.0.0.M7后，集成了spring security oauth2，redis，用redis来存储token。请求token时报错。nested exception is java.lang.NoSuchMethodError: org.springframework.data.redis.connection.RedisConnection.set([B[B)V
SpringSecurity+SpringSecurityOauth2集成实现权限框架，Redis分发Token
积少成多
08-24 1941
写在前面：当我们开始使用Security的时候，常常因为各种注入，而迷糊，但是很害怕使用security，感觉很重很难用！再加入oauth2更难搞，今天我就写点自己的配置理解，希望对大家有帮助！(会提供一个可以使用的源码，放在最后，如果你不想看内容，可以直接下载！) 一： spring security 的核心功能主要包括： 认证 （你是谁） 授权 （你能干什么） 攻击防护 （防止伪造身份） oauth2根据使用场景不同，分成了4种模式，感兴趣的可以去了解，我们主要用密...
spring-security-oauth2将token持久化到redis中
u013008898的博客
06-12 568
pom: RedisConfig: AuthorizationServerConfig；
oauth2配置使用redisTokenService问题
白_的博客
06-24 606
package com.lsh.product.config; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.data.redis.conne...
spring security 授权服务器 认证服务器 OAUTH2 redis
ccnn_yanan的博客
11-25 1473
application.xml 首先引进redis的相关配置 token是要存在这里的 #Mon Nov 04 11:33:55 CST 2019 spring.redis.lettuce.pool.min-idle=0 spring.redis.lettuce.pool.max-idle=8 spring.redis.lettuce.pool.max-active=8 spring.redi...
SpringSecurity +oauth2集成redis（四）
ytyDaMoTou的博客
03-19 362
【代码】SpringSecurity +oauth2集成redis（四）
Spring Security Oauth2:RedisTokenStore修改默认序列化方式，由JDK改为JSON
每天叫醒自己的不是闹铃 是娟 是梦 是理想。
05-06 7750
RedisTokenStore:Json序列化一. 前言 Spring Security Oauth2 存储Token的方式有多种, 比如JWT、Jdbc（数据库）、Redis等，但是对于一个大型的分布式服务应用，Redis存储方式应该是最佳选择。 二. 问题 我们使用默认的Redis存储方式，序列化到到Redis的数据是采用JDK序列化策略写入到redis的。这样对于程序的功能毫无影响，但是对...
OAuth2实现单点登录SSO完整教程，其实不难！
weixin_44421461的博客
03-16 1203
点击上方“Java基基”，选择“设为星标”做积极的人，而不是积极废人！源码精品专栏原创 | Java 2020超神之路，很肝~中文详细注释的开源项目RPC 框架 Dubbo 源码解析网...
spring-security-oauth2 和spring-cloud-starter-oauth2
04-28
简单来说，spring-security-oauth2 是一个独立的库，可以用于任何 Spring 应用程序中实现 OAuth2，而 spring-cloud-starter-oauth2 则是针对分布式应用程序的库，可以与 Spring Cloud 集成使用。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值