OAuth2与spring-security-oauth2

最新推荐文章于 2024-05-04 00:01:26 发布
最新推荐文章于 2024-05-04 00:01:26 发布
阅读量657 收藏 3
点赞数
分类专栏： # spring-secuirty-oauth2 文章标签： oauth2 spring spring cloud
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/dev3932/article/details/111624817
版权

OAuth2与spring-security-oauth2

OAuth2

OAuth2是什么

关于这块概念可以参考： https://www.jianshu.com/p/84a4b4a1e833

OAuth2中4种授权模式作用场景

  1. 授权码模式
    授权码模式一般用于提供给第三方使用
  2. 简化模式
    简化模式一般不会使用
  3. 密码模式
    密码模式一般仅用于系统内部使用
  4. 客户端凭证模式
    客户端凭证模式一般不会使用

spring-security-oauth2

spring-security-oauth2是什么

spring-security-oauth2是基于spring-security框架完整实现oauth2协议的框架，具有oauth2中4种模式访问和第三方登录等功能。

搭建spring-security-oauth2案例

环境版本

	<properties>
		<java.version>1.8</java.version>
		<spring.cloud.version>Hoxton.SR9</spring.cloud.version>
		<spring.boot.version>2.3.0.RELEASE</spring.boot.version>
		<mysql.connector.version>8.0.15</mysql.connector.version>
	</properties>

完整依赖

pom.xml

	<dependencies>

		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-web</artifactId>
		</dependency>

		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-test</artifactId>
		</dependency>

		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-jdbc</artifactId>
		</dependency>

		<dependency>
			<groupId>org.springframework.cloud</groupId>
			<artifactId>spring-cloud-starter-security</artifactId>
		</dependency>

		<dependency>
			<groupId>org.springframework.cloud</groupId>
			<artifactId>spring-cloud-starter-oauth2</artifactId>
		</dependency>

		<dependency>
			<groupId>org.springframework.security</groupId>
			<artifactId>spring-security-jwt</artifactId>
			<version>1.1.0.RELEASE</version>
		</dependency>

		<dependency>
			<groupId>mysql</groupId>
			<artifactId>mysql-connector-java</artifactId>
			<version>${mysql.connector.version}</version>
		</dependency>

		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-data-redis</artifactId>
		</dependency>

		<dependency>
			<groupId>org.projectlombok</groupId>
			<artifactId>lombok</artifactId>
		</dependency>

	</dependencies>

	<dependencyManagement>
		<dependencies>
			<dependency>
				<groupId>org.springframework.boot</groupId>
				<artifactId>spring-boot-dependencies</artifactId>
				<version>${spring.boot.version}</version>
				<type>pom</type>
				<scope>import</scope>
			</dependency>

			<dependency>
				<groupId>org.springframework.cloud</groupId>
				<artifactId>spring-cloud-dependencies</artifactId>
				<version>${spring.cloud.version}</version>
				<type>pom</type>
				<scope>import</scope>
			</dependency>
		</dependencies>
	</dependencyManagement>

application.yml


server:
  port: 8080

spring:
  datasource:
    url: jdbc:mysql://192.168.174.129:3306/oauth?serverTimezone=GMT%2B8&characterEncoding=utf-8&autoReconnect=true&allowMultiQueries=true
    username: root
    password: 123456
    driver-class-name: com.mysql.cj.jdbc.Driver

目录结构

在这里插入图片描述DemoAuthorizationServerConfiguration：授权服务配置

@Configuration
@EnableAuthorizationServer
@AllArgsConstructor
public class DemoAuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter {

	private DataSource dataSource;

	private TokenStore tokenStore;

	private AuthenticationManager authenticationManager;

	private UserDetailsService userDetailsService;

	private TokenEnhancer tokenEnhancer;

	private JwtAccessTokenConverter jwtAccessTokenConverter;

	@Override
	public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
		// @formatter:off
		clients.inMemory()
				.withClient("test-client").secret("$2a$08$YGw560YLRWHg3Hl29ZlmdOfAeyRQ2u0kDiqUyQ62Y1pkW5n4a.hjO")
				.authorizedGrantTypes("password", "authorization_code", "refresh_token", "implicit")
				.authorities("ROLE_CLIENT").redirectUris("http://localhost:8084/oauth/callback")
				.scopes("read", "write", "all");// 请求参数scope必须为集合中的某个值
		// @formatter:on
	}

	@Override
	public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
		// 允许表单传参client信息
		security.allowFormAuthenticationForClients()
				.tokenKeyAccess("permitAll()")
				.checkTokenAccess("isAuthenticated()");
	}

	@Override
	public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
		endpoints.tokenStore(tokenStore)
				.authenticationManager(authenticationManager)
				.userDetailsService(userDetailsService)
				.tokenEnhancer(tokenEnhancer)
				.accessTokenConverter(jwtAccessTokenConverter);
	}

}

DemoJwtTokenStoreConfiguration：JwtToken仓库配置

@Configuration
public class DemoJwtTokenStoreConfiguration {


	@Bean
	public TokenStore tokenStore(JwtAccessTokenConverter tokenConverter) {
		return new JwtTokenStore(tokenConverter);
	}

	@Bean
	public JwtAccessTokenConverter tokenConverter() {
		JwtAccessTokenConverter tokenConverter = new JwtAccessTokenConverter();
		tokenConverter.setSigningKey("abc");
		return tokenConverter;
	}

	@Bean
	public TokenEnhancer tokenEnhancer(JwtAccessTokenConverter tokenConverter) {
		return new DemoJwtTokenEnhancer(tokenConverter);
	}

}

DemoResourceServerConfiguration：资源服务配置

@Configuration
@EnableResourceServer
@AllArgsConstructor
public class DemoResourceServerConfiguration extends ResourceServerConfigurerAdapter {

	private AccessDeniedHandler accessDeniedHandler;

//	private AuthenticationEntryPoint authenticationEntryPoint;

	@Override
	public void configure(HttpSecurity http) throws Exception {
		http.authorizeRequests()
				.anyRequest().authenticated().and()
				.exceptionHandling()
				.accessDeniedHandler(accessDeniedHandler)
//				.authenticationEntryPoint(authenticationEntryPoint)
				.and().csrf().disable();
	}

	@Override
	public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
		super.configure(resources);
	}

}

DemoWebSecurityConfiguration：WebSecurity配置

@Configuration
public class DemoWebSecurityConfiguration extends WebSecurityConfigurerAdapter {

	@Bean
	@Override
	@SneakyThrows
	public AuthenticationManager authenticationManagerBean() {
		return super.authenticationManagerBean();
	}

	@Bean
	public PasswordEncoder passwordEncoder() {
		return new BCryptPasswordEncoder(BCryptPasswordEncoder.BCryptVersion.$2A, 8);
	}

	@Override
	protected void configure(HttpSecurity http) throws Exception {
		http.httpBasic().and().csrf().disable();
	}
}

DemoController：受保护的Controller资源

@RestController
@RequestMapping("/api")
public class DemoController {

	@RequestMapping("/test")
	public Map<String, Object> test() {
		Map<String, Object> result = new HashMap<>();
		result.put("time", System.currentTimeMillis());
		return result;
	}

}

DemoClientDetailsService：ClientDetailsService实现类

public class DemoClientDetailsService extends JdbcClientDetailsService {

	public DemoClientDetailsService(DataSource dataSource) {
		super(dataSource);
	}

}

DemoUserDetails：用户信息类

@Getter
public class DemoUserDetails extends User {

	/**
	 * 用户id
	 */
	private String userId;

	/**
	 * 手机号
	 */
	private String mobile;

	/**
	 * 是否超级管理员 1是 0否
	 */
	private Boolean administrator;

	/**
	 * 角色id
	 */
	private List<Long> roles;

	public DemoUserDetails(String userId, String mobile, String username, String password, boolean enabled, List<Long> roles, boolean accountNonExpired,
						   boolean credentialsNonExpired, boolean accountNonLocked,
						   Collection<? extends GrantedAuthority> authorities, Boolean administrator) {
		super(username, password, enabled, accountNonExpired, credentialsNonExpired, accountNonLocked,
				authorities);
		this.userId = userId;
		this.roles = roles;
		this.administrator = administrator;
		this.mobile = mobile;
	}

}

DemoUserDetailsServiceImpl：UserDetailsService实现类

@Service
public class DemoUserDetailsServiceImpl implements UserDetailsService {

	@Override
	public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
		return new DemoUserDetails("userId", "mobile", s, "$2a$08$EiGfaup8QkkjT6DhvCSFRuNhdFTEV7Rbu/avUm8lGL2ZUji/lTWji", true, Arrays.asList(1L), true, true, true,
				AuthorityUtils.commaSeparatedStringToAuthorityList("1,2"), false);
	}

}

DemoAccessDeniedHandler：403处理器

@Component
public class DemoAccessDeniedHandler implements AccessDeniedHandler {

	@Override
	public void handle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AccessDeniedException e) throws IOException, ServletException {
		httpServletResponse.setStatus(HttpServletResponse.SC_FORBIDDEN);
		httpServletResponse.setContentType("application/json;charset=UTF-8");
		PrintWriter out = httpServletResponse.getWriter();
		out.write(new ObjectMapper().writeValueAsString("权限不足，请联系管理员!"));
		out.flush();
		out.close();
	}

}

DemoAuthenticationEntryPoint：401处理器

//@Component
public class DemoAuthenticationEntryPoint implements AuthenticationEntryPoint {

	@Override
	public void commence(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {
		httpServletResponse.setStatus(HttpServletResponse.SC_FORBIDDEN);
		httpServletResponse.setContentType("application/json;charset=UTF-8");
		PrintWriter out = httpServletResponse.getWriter();
		out.write(new ObjectMapper().writeValueAsString("请先登录!"));
		out.flush();
		out.close();
	}

}

DemoJwtTokenEnhancer：TokenEnhancer实现类

@AllArgsConstructor
public class DemoJwtTokenEnhancer implements TokenEnhancer {

	private JwtAccessTokenConverter jwtAccessTokenConverter;

	@Override
	public OAuth2AccessToken enhance(OAuth2AccessToken accessToken, OAuth2Authentication authentication) {
		DemoUserDetails principal =
				(DemoUserDetails) authentication.getUserAuthentication().getPrincipal();
		Map<String, Object> info = new HashMap<>();
		info.put("user_id", principal.getUserId() == null ? "" : String.valueOf(principal.getUserId()));
		((DefaultOAuth2AccessToken) accessToken).setAdditionalInformation(info);
		return jwtAccessTokenConverter.enhance(accessToken, authentication);
	}

}

DemoPasswordEncoder：PasswordEncoder实现类

public class DemoPasswordEncoder implements PasswordEncoder {

	@Override
	public String encode(CharSequence rawPassword) {
		return (String) rawPassword;
	}

	@Override
	public boolean matches(CharSequence rawPassword, String encodedPassword) {
		return encodedPassword.equals(encode(rawPassword));
	}

}

密码模式

获取token

/oauth/token,获取token，access_token就是我们需要在请求头中携带的token。
在这里插入图片描述
访问url：
http://localhost:8080/oauth/token?username=admin&password=qwer1234&grant_type=password&scope=all
并在请求头中加入basic auth参数
在这里插入图片描述眼力好的同学已经看出来上图中已经在url中出现了client…
也可以直接访问这个url：
http://localhost:8080/oauth/token?username=admin&password=qwer1234&grant_type=password&scope=all&client_id=test-client&client_secret=abc
这种访问方式又是哪里出来的？第一个java代码块里面就有配置了…
allowFormAuthenticationForClients又是怎么实现的呢？

	@Override
	public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
		// 允许表单传参client信息
		security.allowFormAuthenticationForClients()
				.tokenKeyAccess("permitAll()")
				.checkTokenAccess("isAuthenticated()");
	}

访问受保护的资源

访问受保护的资源
图片中就是在请求头中将入key为Authorization的值
Authorization Bearer eyJhbGciOiJ…
在这里插入图片描述

在这里插入图片描述

授权码模式

获取code

直接在浏览器上访问该链接
http://localhost:8080/oauth/authorize?response_type=code&scope=all&client_id=test-client&client_secret=abc&redirect_uri=http://localhost:8084/oauth/callback

浏览器弹出httpBasic验证
在这里插入图片描述输入预设用户名/密码：admin/qwer1234
点击确定，弹出OAuth2用户授权页面，点击授权Authorize
在这里插入图片描述页面重定向到redirect_uri参数指定的url并附带了code
在这里插入图片描述

获取token

使用上一步中获取的code替换下面的，并访问url：
http://localhost:8080/oauth/token?grant_type=authorization_code&client_id=test-client&client_secret=abc&redirect_uri=http://localhost:8084/oauth/callback&code=OWwAmR

不会有人直接复制链接不改code参数吧？不会吧，不会吧

访问受保护的资源

该步骤与密码模式中一致

结语

spring-security-oauth2秉承spring一贯风格特色，配置多种多样，如果见到和上面配置不一样很正常，如果想要深入了解，需要仔细阅读源码。上面的案例只是简单的入门描述，由此可以引发很多疑问。

  1. 使用数据库配置client与user怎么做
  2. 需要配置手机号验证码登录等其他方式需要怎么做
  3. 授权码模式需要用户手动授权，如果特殊情况下改为不需要授权怎么做
  4. 需要在网关中使用，该怎么做
  5. 需要权限验证，该怎么做
  6. 基于spring-security-oauth2框架的单点登录怎么做
    …

关注点赞，下次继续更新
stuck_out_tongue

配置篇 spring-security-oauth2 配置（一）

源码分析篇A路线 spring-security-oauth2 源码分析A路线（一）

源码分析篇B路线 spring-security-oauth2 源码分析B路线（一）

-aonez-
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
Spring Security 和 Spring Cloud OAuth2 技术栈对比分析
禅与计算机程序设计艺术
09-14 2338
目前随着互联网应用的发展，安全问题也日益突出。越来越多的人选择前沿的技术框架来构建他们的产品和服务。其中，Spring Security是一个开源的基于Java开发的安全框架，它提供身份验证、授权和访问控制功能。Spring Cloud则是一个微服务架构下的一站式云端开发平台。本文将从安全架构的角度，探讨Spring Security和Spring Cloud OAuth2两种不同的安全技术方案。
基于spring-security-oauth2实现oauth2（持续更新）
热门推荐
weixin_34080571的博客
05-31 10万+
为什么80%的码农都做不了架构师？>>> ...
Spring security oauth2最简单入门环境搭建--二、干货
z2007130205的专栏
10-16 6016
关于OAuth2的一些简介，见我的上篇blog:http://wwwcomy.iteye.com/blog/2229889 PS：貌似内容太水直接被鹳狸猿干沉。。 友情提示 学习曲线：spring+spring mvc+spring security+Oauth2基本姿势,如果前面都没看过请及时关闭本网页。 我有信心我的这个blog应该是迄今为止使用spring security oa
Spring Security 解析(五) —— Spring Security Oauth2 开发
banman4379的博客
09-16 418
Spring Security 解析(五) —— Spring Security Oauth2 开发   在学习Spring Cloud 时，遇到了授权服务oauth 相关内容时，总是一知半解，因此决定先把Spring Security 、Spring Security Oauth2 等权限、认证相关的内容、原理及设计学习并整理一遍。本系列文章就是在学习的过程中加强印象和理解所撰写的，...
还不了解Oauth2协议?这篇文章从入门到入土让你了解Oauth2以及Spring Security OAuth2 的使用
落雪
05-27 1264
SpringSecurityOAuth2学习和实战 1.OAuth2概述 1.1 什么是OAuth2 OAuth（Open Authorization）是一个关于授权（authorization）的开放网络标准，允许用户授权第三方 应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他 们数据的所有内容。OAuth在全世界得到广泛应用，目前的版本是2.0版。 协议特点： 简单：不管是OAuth服务提供者还是应用开发者，都很易于理解与使用； 安全：没有涉及到用户密钥等信
spring-security-oauth2-2.3.5.RELEASE-API文档-中文版.zip
05-09
赠送jar包：spring-security-oauth2-2.3.5.RELEASE.jar； 赠送原API文档：spring-security-oauth2-2.3.5.RELEASE-javadoc.jar； 赠送源代码：spring-security-oauth2-2.3.5.RELEASE-sources.jar； 赠送Maven依赖信息...
spring-security-oauth2文档
03-26
Spring Security OAuth2是Spring Security框架中的一个扩展模块，用于实现OAuth2协议的安全认证与授权功能。它为开发人员提供了一种简单的方式去实现OAuth2协议的支持，使得开发者能够轻松地在应用程序中集成授权...
spring-security-oauth2-2.3.5.RELEASE-API文档-中英对照版.zip
05-04
赠送jar包：spring-security-oauth2-2.3.5.RELEASE.jar； 赠送原API文档：spring-security-oauth2-2.3.5.RELEASE-javadoc.jar； 赠送源代码：spring-security-oauth2-2.3.5.RELEASE-sources.jar； 赠送Maven依赖信息...
spring-security-oauth2-authorization-server.zip
08-25
本项目“spring-security-oauth2-authorization-server”将带你深入理解如何利用Spring Security OAuth2构建一个授权服务器，以保护你的API并提供安全的访问控制。 OAuth2是一种开放标准，用于授权第三方应用访问...
spring-security-oauth2
03-17
《Spring Security OAuth2详解》 在当今的互联网时代，安全是任何应用程序不可或缺的一部分。Spring Security作为Java领域中广泛使用的安全框架，提供了强大的访问控制和身份验证功能。而OAuth2则是授权框架的行业...
spring security oauth2整合
07-27
spring security oauth2整合的详细说明文档，demo下载地址在文档中已经给出。其中demo中包含了详细的代码注释。
spring-boot spring-security-oauth2 完整demo
11-22
《Spring Boot、Spring Security与OAuth2的完整示例解析》 在现代Web开发中，安全性是不可忽视的重要一环。Spring Boot、Spring Security和OAuth2是Java生态系统中用于构建安全Web应用的三大利器。本篇文章将围绕...
spring-security-oauth2-autoconfigure-2.1.8.RELEASE-文档-中英对照版.zip
05-04
赠送jar包：spring-security-oauth2-autoconfigure-2.1.8.RELEASE.jar； 赠送原API文档：spring-security-oauth2-autoconfigure-2.1.8.RELEASE-javadoc.jar； 赠送源代码：spring-security-oauth2-autoconfigure-...
spring-Security-oauth2.zip
05-26
Spring Security OAuth2 是一个强大的框架，用于在Spring应用程序中实现安全性和身份验证。OAuth2 是一个授权框架，允许第三方应用获取有限的访问权限到受保护的资源，而无需分享用户名和密码。本压缩包文件“spring...
spring-security-oauth2.rar
09-04
本篇将深入探讨Spring Security OAuth2如何实现基于密码模式的用户登录以及如何使用数据库和Redis进行Token的存储与管理。 首先，OAuth2是一种授权协议，它允许第三方应用在用户授权的情况下访问受保护的资源。...
【SpringSecurityOauth2】
qq_42341853的博客
05-27 321
SpringSecurityOauth2 授权码模式demo 密码模式demo
springcloud — 微服务鉴权管理之OAuth2原理解析(一)
qq_38658567的博客
08-05 1652
Spring Security OAuth2建立在Spring Security的基础之上，实现了OAuth2的规范，Spring Cloud Security模块用于构建安全的应用程序和服务。在Spring Boot和Spring Security OAuth2的基础上，我们可以快速创建实现常见模式（如单点登录，令牌中继和令牌交换）的系统。 Spring OAuth2.0 提供者实现原理 Spring OAuth2.0提供者实际上分为： 授权服务 Authorization Service 资源服务 R
Spring Security OAuth2 入门
最新发布
2401_84097941的博客
05-04 528
本文从基础到高级再到实战，由浅入深，把MySQL讲的清清楚楚，明明白白，这应该是我目前为止看到过最好的有关MySQL的学习笔记了，我相信如果你把这份笔记认真看完后，无论是工作中碰到的问题还是被面试官问到的问题都能迎刃而解！MySQL50道高频面试题整理：《一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码》点击传送门，即可获取！_token" ，用于开启获取刷新令牌的功能。
八.SpringSecurity-OAUTH2+JWT
qq_32115993的博客
10-22 356
SpringSecurity-OAUTH2 1.概述 1.1.SpringSecurity-Oauth2介绍 SpingSecurityOauth2实现了Oatuh2，SpingSecurityOauth2分为两个大块，一者为认证授权(Authorization Server)服务和资源服务(Resource server)，认证授权服务一般负责执行认证逻辑(登录)和加载用户的权限(给用户授权)，以及认证成功后的令牌颁发 ，而资源服务器一般指的是我们系统中的微服务(被访问的微服务)，在资源服务器需要对用户的
spring-security-oauth2与spring-cloud-starter-oauth2
06-10
spring-security-oauth2和spring-cloud-starter-oauth2都是OAuth 2.0协议的Spring框架的库但它们的使用场景有所不同。 spring-security-oauth2是一个Spring Security的扩展，它提供了OAuth 2.0的实现，可以用于...
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值