springsecurity oauth2中refresh token模式需要注意的点

最新推荐文章于 2024-07-23 16:12:48 发布
最新推荐文章于 2024-07-23 16:12:48 发布
阅读量3.3k 收藏 1
点赞数
分类专栏： spring security 文章标签： springsecurity oauth2 refresh
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/chuixue24/article/details/103565555
版权

 

oauth2官方只有4种授权方式，不过springsecurity oauth2把refresh token也归为authorizedGrantTypes的一种，因此

springsecurity的oauth2实现有5中模式。

authorization_code

权码模式(即先登录获取code,再获取token)

 

implicit

简化模式(在redirect_uri 的Hash传递token; Auth客户端运行在浏览器中,如JS,Flash)

password

密码模式(将用户名,密码传过去,直接获取token)

 

client_credentials

客户端模式(无用户,用户向客户端注册,然后客户端以自己的名义向'服务端'获取资源)

refresh_token

刷新token

 

要使用refresh_token的话，需要在认证服务器中配置userDetailsService。

 @Autowired
 private CustomUserDetailsService customUserDetailsService;
 
 @Override
 public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
            endpoints.tokenStore(tokenStore)
                    .authorizationCodeServices(authorizationCodeServices)
                    .userDetailsService(customUserDetailsService)
                    .userApprovalHandler(userApprovalHandler())
                    .authenticationManager(authenticationManager);
        }

如果不配置，或者配置错误（比如在SecurityConfig中配置了一个userDetailsService，而在认证服务器中配置了另一个userDetailsService），会报userDetailsService缺失错误或空指针异常。

需要注意的另一个点：refresh_token必须在过期之前调用才能换新的token。

刷新token时，如果access_token，refresh_token均未过期，access_token会是一个新的token,而且过期时间expires延长,refresh_token根据设定的过期时间,没有失效则不发生变化。
刷新token时，如果access_token过期，refresh_token未过期，access_token会是一个新的token,而且过期时间expires延长,refresh_token根据设定的过期时间,没有失效则不发生变化。
刷新token时，如果refresh_token过期，会返回401状态码，{"error":"invalid_token","error_description":"Invalid refresh token (expired): 7f0cf53a-8b89-4a1f-b5ae-09b7e48dc888"}

 

chuixue24
关注
专栏目录
spring security oauth2之refresh token
weixin_33910759的博客
12-08 540
序 本文就来讲一讲spring security oauth2的refresh token方式 authorizedGrantTypes oauth2官方只有4种授权方式，不过spring security oauth2把refresh token也归为authorizedGrantTypes的一种，因此配置的时候只需要这样就把所有方式都支持了 @Configuration @EnableAuth...
jwt的token自动续约_SpringSecurity Jwt Token 自动刷新的实现
weixin_39954569的博客
12-21 1975
功能需求最近项目中有这么一个功能，用户登录系统后，需要给 用户 颁发一个 token ,后续访问系统的请求都需要带上这个 token ,如果请求没有带上这个 token 或者 token 过期了，那么禁止访问系统。如果用户一直访问系统，那么还需要自动延长 token 的过期时间。功能分析1、token 的生成使用现在比较流行的 jwt 来生成。2、token 的自动延长要实现 token 的自动延...
微服务安全——SpringSecurity6详解
最新发布
qq_44027353的博客
07-23 2387
本文使用的是Security6的版本，先介绍SpringSecurity的使用，然后再去介绍OAuth2。 SpringSecurity也只是入门知识版本：SpringBoot3.1.4、Security6.1.4创建一个简单的SpringBoot应用引入依赖 编写一个简单的Controller 启动项目后测试接口调用引入Spring Security依赖之后 ，访问 API 接口时，需要首先进行登录，才能进行访问。测试 http://localhost:8080/admin/demo ,会跳转到登录界面需
OAuth2.0的refresh token
wenlei_zhouwl的专栏
02-13 4万+
转载自http://www.html-js.com/?p=1297 最近看人人网的OAuth认证,发现他是OAuth2.0,之前一直看的是新浪的OAuth,是OAuth1.0. 二者还是有很多不同的,主要的不同点在access token的获取方式. OAuth1.0的access token获取过来之后,就可以存到数据库里,然后长期使用,因为它有效期很长,通常有效期
springSecurity-jwt:JWT access_token和refresh_token
04-10
SpringSecurity-JWT-VERSION2（AccessToken和RefreshToken） version1太复杂，无法优化。 accessToken refreshToken流 安全登录处理流程 详细说明转到博客文章 JWT异常处理 安全异常处理（AuthenticationEntryPoint，AccessDeniedHandler） 仅使用AccessToken时 如果将AccessToken的有效时间设置得较长，则很方便，因为用户不需要频繁登录，但是只要有效时间长，恶意用户就可以窃取AccessToken，从而降低了安全性。 相反，如果将AccessToken的有效时间设置为较短时间，则安全性将提高，但由于用户频繁登录，其便利性将降低。 您可能会认为使JWT无效将不起作用，但是JWT只能在设置的到期时间过去之后才到期。 我不能强迫它在那之前过期。 同时使用
基于springSecurity的双token机制（accesToken,refreshToken）以及如何刷新token
AllenLuoYi的博客
06-14 1191
核心功能概要： 通过加密算法创建一个用户：1.代码整体结构： 2.所需依赖： 3.UserDetailServiceImpl拦截用户登陆：4.所需工具类4.1ApplicationContextUtils： 4.2JwtUtils：4.3ResponseResult4.4ResponseStatus4.5RsaUtils：4.6.SecurityContextUtil5.SecurityConfig:6.LoginSuccessHandler登陆成功处理器：7.RequestAuthenticationFi
使用Spring Security OAuth2实现单点登录
08-25
接下来，我们需要在Security配置中启用OAuth2单点登录。我们可以使用@EnableOAuth2Sso注释来启用单点登录： @Configuration @EnableOAuth2Sso public class UiSecurityConfig extends WebSecurityConfigurerAdapter...
Spring Security OAuth2 授权码模式的实现
08-18
Spring Security OAuth2 授权码模式是 OAuth 2.0 授权流程中的一种常见模式，该模式要求用户登录并对第三方应用（客户端）进行授权，出示授权码交给客户端，客户端凭授权码换取 access_token（访问凭证）。...
Spring Security Oauth2使用JWT生成Token
LiaoHongHB的博客
11-13 7857
转载务必说明出处：https://blog.csdn.net/LiaoHongHB/article/details/84031281 在我们平时使用oauth2的协议中，生成的token是基于oauth2协议本身的生成策略，如下面的代码（一般在登陆成功的handler中生成token）.： package com.car.springsecurity.handle; import com....
Spring Security Oauth2 认证（获取token/刷新token）流程（password模式）
LP1325308489的博客
08-19 1261
1.本文介绍的认证流程范围 本文主要对从用户发起获取token的请求（/oauth/token），到请求结束返回token中间经过的几个关键点进行说明。 2.认证会用到的相关请求 注：所有请求均为post请求。 获取access_token请求（/oauth/token） 请求所需参数：client_id、client_secret、grant_type、username、password <span style="color:#000000"><code><spa
Spring cloud Oauth2的密码模式数据库方式实现登录授权验证
12-09
在Spring Cloud OAuth2中，我们需要配置以下几个关键组件： 1. **Authorization Server**：这是OAuth2的核心，负责处理授权请求，验证用户凭证，并颁发访问令牌。在Spring Cloud中，我们可以使用`@...
spring security oauth2 自动刷新续签token (refresh token)
热门推荐
m0_37834471的博客
10-20 6万+
1.引言 前提：了解spring security oauth2的大致流程（对过滤器的内容有一定的了解） 主要思路： 首先用过期token访问受拦截资源 认证失败返回401的时候调用异常处理器 通过异常处理器结合refresh_token进行token的刷新 刷新成功则通过请求转发（request.getRequestDispatcher）的方式再次访问受拦截资源 2.源码分析核心过滤器...
SpringSecurity OAuth2 (7) 自定义 AccessToken 和 RefreshToken (JWT with RSA 签名)
O_o
07-23 6310
全面的令牌自定义 AuthorizationServerTokenSerivces 的自定义, `TokenStore` 的自定义以及 `OAuth2AccessToken` 的自定义. 启用 JWT (Json Web Token)
避坑指南（一）：Spring Security Oauth2中refresh_token刷新access_token异常
银河架构师的博客
12-30 1万+
问题 Spring Security Oauth2中，当access_token即将过期时，需要调用/oauth/token，使用refresh_token刷新access_token，此时会存在一个坑： 即如果使用Spring Security框架默认生成的AuthenticationManager时，接口调用异常。 具体报错信息为如下： No AuthenticationProvid...
基于spring security实现vue2前后端分离的双token刷新机制（完整代码详解，含金量拉满！）
qq_60614034的博客
03-27 3915
网上许多博主，放张图片讲讲双token原理就发出来，没有含金量，还耽误大伙的时间。但是我不一样，我将会把代码的每一步骤都讲明白，并把详细代码放出来，让每一位看到的人都能跟着一步步自己搞，弄明白每一步的执行流程。要是觉得我跟那些博主一样，也是水文章，互相抄袭，请在评论区直接开骂。如果是第一次接触security请看这篇spring security单token前后端分离详细配置。
SpringBoot项目实战（009）Spring Security（三）JWT+Redis+RefreshToken
IT老吴的博客
07-17 1711
本章打算： 使用redis作为缓存。 使用refreshtoken刷新accesstoken 缓存角色信息到redis
Spring Security OAuth 2.0 ：四、刷新refresh_token
好幸运
12-20 553
一、get或者post请求以下地址 http://127.0.0.1:61/dev-api/oauth/token?grant_type=refresh_token&refresh_token=8bf35aee-8852-42a7-8d30-668f3194a964 二、发现没有权限 Unauthorized 三、解决方法
Spring boot + Security + OAuth2 password模式、refresh_token模式访问/oauth/token端点
OceanSky的专栏
07-25 2272
1./oauth/token端点 端点过滤器TokenEndpointAuthenticationFilter 端点对应的action类TokenEndpoint 受保护的资源信息类ResourceOwnerPasswordResourceDetails 和认证服务器交互资源信息类ResourceOwnerPasswordAccessTokenProvider 2./oauth/token(...
springboot整合springsecurity+oauth2.0实现token认证
07-08
嗨！关于Spring Boot整合Spring Security和OAuth2.0实现token认证，你可以按照以下步骤进行操作： 1. 添加依赖：在你的Spring Boot项目的pom.xml文件中，添加Spring Security和OAuth2.0相关的依赖。 ```xml <dependencies> <!-- Spring Security --> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> <!-- Spring Security OAuth2 --> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-oauth2-client</artifactId> </dependency> </dependencies> ``` 2. 配置Spring Security：创建一个继承自WebSecurityConfigurerAdapter的配置类，并重写configure方法来配置Spring Security的行为。 ```java @Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http .authorizeRequests() .antMatchers("/oauth2/**", "/login/**", "/logout/**") .permitAll() .anyRequest() .authenticated() .and() .oauth2Login() .loginPage("/login") .and() .logout() .logoutSuccessUrl("/") .invalidateHttpSession(true) .clearAuthentication(true) .deleteCookies("JSESSIONID"); } } ``` 在上述配置中，我们允许访问一些特定的URL（如/oauth2/**，/login/**和/logout/**），并保护所有其他URL。我们还设置了自定义的登录页面和注销成功后的跳转页面。 3. 配置OAuth2.0：创建一个继承自AuthorizationServerConfigurerAdapter的配置类，并重写configure方法来配置OAuth2.0的行为。 ```java @Configuration @EnableAuthorizationServer public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter { @Autowired private AuthenticationManager authenticationManager; @Override public void configure(ClientDetailsServiceConfigurer clients) throws Exception { clients .inMemory() .withClient("client_id") .secret("client_secret") .authorizedGrantTypes("authorization_code", "password", "refresh_token") .scopes("read", "write") .accessTokenValiditySeconds(3600) .refreshTokenValiditySeconds(86400); } @Override public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception { endpoints .authenticationManager(authenticationManager); } } ``` 在上述配置中，我们使用内存存储客户端信息（client_id和client_secret），并配置了授权类型（如authorization_code、password和refresh_token）。我们还设置了访问令牌和刷新令牌的有效期。 4. 创建登录页面：创建一个HTML登录页面，用于用户进行身份验证并获取访问令牌。 ```html <!DOCTYPE html> <html> <head> <title>Login</title> </head> <body> <h2>Login</h2> <form th:action="@{/login}" method="post"> <div> <label for="username">Username:</label> <input type="text" id="username" name="username" /> </div> <div> <label for="password">Password:</label> <input type="password" id="password" name="password" /> </div> <div> <button type="submit">Login</button> </div> </form> </body> </html> ``` 5. 处理登录请求：创建一个控制器来处理登录请求，并在登录成功后重定向到受保护的资源。 ```java @Controller public class LoginController { @GetMapping("/login") public String showLoginForm() { return "login"; } @PostMapping("/login") public String loginSuccess() { return "redirect:/protected-resource"; } } ``` 在上述控制器中，我们使用@GetMapping注解来处理GET请求，@PostMapping注解来处理POST请求。登录成功后，我们将用户重定向到受保护的资源。 这样，你就完成了Spring Boot整合Spring Security和OAuth2.0实现token认证的配置。你可以根据自己的需求进行进一步的定制和扩展。希望对你有所帮助！如果你有任何疑问，请随时问我。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值