spring security oauth2 自定义实现令牌存储

最新推荐文章于 2024-09-30 09:27:29 发布
置顶 最新推荐文章于 2024-09-30 09:27:29 发布
阅读量2.2w 收藏 11
点赞数 2
分类专栏： java web 文章标签： security spring authentication token string byte
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/hxpjava1/article/details/7215030
版权

我一开始用oauth2 for spring security的JdbcTokenStore存储令牌，它用jdbcTemplate操作数据库，代码显示操作成功，但是数据库里就是没有存储的令牌，调试搞了一天，就是找不到原因，无奈，只好自己用mybatis实现了一个tokenStore。

数据库表结构：

drop table if exists oauth_client_details;
drop table if exists oauth_access_token;
drop table if exists oauth_refresh_token;
drop table if exists oauth_code;

create table oauth_client_details (
  client_id VARCHAR(50) PRIMARY KEY,
  resource_ids VARCHAR(256),
  client_secret VARCHAR(256),
  scope VARCHAR(256),
  authorized_grant_types VARCHAR(256),
  web_server_redirect_uri VARCHAR(256),
  authorities VARCHAR(256)
);

create table oauth_access_token (
  token_id VARCHAR(256),
  token blob,
  authentication_id VARCHAR(256),
  authentication blob,
  refresh_token VARCHAR(256)
);

create table oauth_refresh_token (
  token_id VARCHAR(256),
  token blob,
  authentication blob
);

create table oauth_code (
  code VARCHAR(256),
  authentication blob
);

insert into oauth_client_details(client_id,resource_ids,client_secret,scope,authorized_grant_types,authorities) 
values('client','sparklr','secret','read,write','authorization_code','ROLE_CLIENT');



几个实体类如下： 

package com.hxp.oauth.server.entity;

import java.io.Serializable;

public class MybatisOauth2AccessToken implements Serializable {
	private static final long serialVersionUID = -4232065232755289541L;

	private String tokenId;
	private byte[] token;
	private String authenticationId;
	private byte[] authentication;
	private String refreshToken;

	public String getTokenId() {
		return tokenId;
	}

	public void setTokenId(String tokenId) {
		this.tokenId = tokenId;
	}

	public byte[] getToken() {
		return token;
	}

	public void setToken(byte[] token) {
		this.token = token;
	}

	public String getAuthenticationId() {
		return authenticationId;
	}

	public void setAuthenticationId(String authenticationId) {
		this.authenticationId = authenticationId;
	}

	public byte[] getAuthentication() {
		return authentication;
	}

	public void setAuthentication(byte[] authentication) {
		this.authentication = authentication;
	}

	public String getRefreshToken() {
		return refreshToken;
	}

	public void setRefreshToken(String refreshToken) {
		this.refreshToken = refreshToken;
	}

	

}


package com.hxp.oauth.server.entity;

import java.io.Serializable;

public class MybatisOauth2RefreshToken implements Serializable {
	private static final long serialVersionUID = 238497479380096784L;

	private String tokenId;
	private byte[] token;
	private byte[] authentication;

	public String getTokenId() {
		return tokenId;
	}

	public void setTokenId(String tokenId) {
		this.tokenId = tokenId;
	}

	public byte[] getToken() {
		return token;
	}

	public void setToken(byte[] token) {
		this.token = token;
	}

	public byte[] getAuthentication() {
		return authentication;
	}

	public void setAuthentication(byte[] authentication) {
		this.authentication = authentication;
	}

}


package com.hxp.oauth.server.entity;

import java.io.Serializable;

public class MybatisOauth2Code implements Serializable {
	private static final long serialVersionUID = -1799776184263988216L;

	private String code;
	private byte[] authentication;

	public String getCode() {
		return code;
	}

	public void setCode(String code) {
		this.code = code;
	}

	public byte[] getAuthentication() {
		return authentication;
	}

	public void setAuthentication(byte[] authentication) {
		this.authentication = authentication;
	}

}


tokenStore类： 

package com.hxp.oauth.server.store;

import org.apache.commons.logging.Log;
import org.apache.commons.logging.LogFactory;
import org.springframework.dao.EmptyResultDataAccessException;
import org.springframework.security.oauth2.common.ExpiringOAuth2RefreshToken;
import org.springframework.security.oauth2.common.OAuth2AccessToken;
import org.springframework.security.oauth2.common.util.SerializationUtils;
import org.springframework.security.oauth2.provider.OAuth2Authentication;
import org.springframework.security.oauth2.provider.token.AuthenticationKeyGenerator;
import org.springframework.security.oauth2.provider.token.DefaultAuthenticationKeyGenerator;
import org.springframework.security.oauth2.provider.token.TokenStore;

import com.hxp.oauth.server.dao.MybatisTokenDao;
import com.hxp.oauth.server.entity.MybatisOauth2AccessToken;
import com.hxp.oauth.server.entity.MybatisOauth2RefreshToken;

public class MybatisTokenStore implements TokenStore {
	private static final Log LOG = LogFactory.getLog(MybatisTokenStore.class);
	
	private MybatisTokenDao mybatisTokenDao;
	
	private AuthenticationKeyGenerator authenticationKeyGenerator = new DefaultAuthenticationKeyGenerator();
	
	
	public OAuth2Authentication readAuthentication(OAuth2AccessToken token) {
		OAuth2Authentication authentication = null;

		try {
			MybatisOauth2AccessToken at=mybatisTokenDao.readAccessToken( token.getValue());
			authentication = SerializationUtils.deserialize(at.getAuthentication());
					
		}
		catch (EmptyResultDataAccessException e) {
			if (LOG.isInfoEnabled()) {
				LOG.info("Failed to find access token for token " + token);
			}
		}

		return authentication;
	}

	public void storeAccessToken(OAuth2AccessToken token, OAuth2Authentication authentication) {
		String refreshToken = null;
		if (token.getRefreshToken() != null) {
			refreshToken = token.getRefreshToken().getValue();
		}
		MybatisOauth2AccessToken at=new MybatisOauth2AccessToken();
		at.setTokenId(token.getValue());
		at.setToken(SerializationUtils.serialize(token));
		at.setAuthenticationId(authenticationKeyGenerator.extractKey(authentication));
		at.setAuthentication(SerializationUtils.serialize(authentication));
		at.setRefreshToken(refreshToken);
		mybatisTokenDao.storeAccessToken(at);
	}

	public OAuth2AccessToken readAccessToken(String tokenValue) {
		OAuth2AccessToken accessToken = null;

		try {
			accessToken = SerializationUtils.deserialize(mybatisTokenDao.readAccessToken(tokenValue).getToken());			
		}
		catch (EmptyResultDataAccessException e) {
			if (LOG.isInfoEnabled()) {
				LOG.info("Failed to find access token for token " + tokenValue);
			}
		}

		return accessToken;
	}

	public void removeAccessToken(String tokenValue) {
		mybatisTokenDao.removeAccessToken(tokenValue);

	}

	public OAuth2Authentication readAuthentication(ExpiringOAuth2RefreshToken token) {
		OAuth2Authentication authentication = null;

		try {
			authentication = SerializationUtils.deserialize(mybatisTokenDao.readRefreshToken(token.getValue()).getAuthentication());
		}
		catch (EmptyResultDataAccessException e) {
			if (LOG.isInfoEnabled()) {
				LOG.info("Failed to find access token for token " + token);
			}
		}

		return authentication;
	}

	public void storeRefreshToken(ExpiringOAuth2RefreshToken refreshToken, OAuth2Authentication authentication) {
		MybatisOauth2RefreshToken rt=new MybatisOauth2RefreshToken();
		rt.setTokenId(refreshToken.getValue());
		rt.setToken(SerializationUtils.serialize(refreshToken));
		rt.setAuthentication(SerializationUtils.serialize(authentication));
		mybatisTokenDao.storeRefreshToken(rt);
	}

	public ExpiringOAuth2RefreshToken readRefreshToken(String tokenValue) {
		ExpiringOAuth2RefreshToken refreshToken = null;

		try {
			refreshToken = SerializationUtils.deserialize(mybatisTokenDao.readRefreshToken(tokenValue).getToken());
		}
		catch (EmptyResultDataAccessException e) {
			if (LOG.isInfoEnabled()) {
				LOG.info("Failed to find refresh token for token " + tokenValue);
			}
		}

		return refreshToken;
	}

	public void removeRefreshToken(String tokenValue) {
		mybatisTokenDao.removeRefreshToken(tokenValue);

	}

	public void removeAccessTokenUsingRefreshToken(String refreshToken) {
		mybatisTokenDao.removeAccessTokenUsingRefreshToken(refreshToken);

	}

	public OAuth2AccessToken getAccessToken(OAuth2Authentication authentication) {
		OAuth2AccessToken accessToken = null;

		try {
			String auth=authenticationKeyGenerator.extractKey(authentication);
			 MybatisOauth2AccessToken at=mybatisTokenDao.getAccessToken(auth);
			if(null==at){
				return null;
			}else{
				accessToken = SerializationUtils.deserialize(at.getToken());
			}
				
		}
		catch (EmptyResultDataAccessException e) {
			if (LOG.isInfoEnabled()) {
				LOG.debug("Failed to find access token for authentication " + authentication);
			}
		}

		return accessToken;
	}

	public MybatisTokenDao getMybatisTokenDao() {
		return mybatisTokenDao;
	}

	public void setMybatisTokenDao(MybatisTokenDao mybatisTokenDao) {
		this.mybatisTokenDao = mybatisTokenDao;
	}
	
	

}

dao接口类： 

package com.hxp.oauth.server.dao;

import com.hxp.oauth.server.entity.MybatisOauth2AccessToken;
import com.hxp.oauth.server.entity.MybatisOauth2RefreshToken;

public interface MybatisTokenDao {	
    void storeAccessToken(MybatisOauth2AccessToken token);
    
    MybatisOauth2AccessToken readAccessToken(String tokenValue);

	 void removeAccessToken(String tokenValue);

	 void storeRefreshToken(MybatisOauth2RefreshToken token);

	 MybatisOauth2RefreshToken readRefreshToken(String tokenValue);

	 void removeRefreshToken(String tokenValue);

	 void removeAccessTokenUsingRefreshToken(String refreshToken);

	 MybatisOauth2AccessToken getAccessToken(String authentication);
}

mapper 配置文件： 

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE mapper PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN" 
"http://mybatis.org/dtd/mybatis-3-mapper.dtd">

<mapper namespace="com.hxp.oauth.server.dao.MybatisTokenDao">
	<resultMap id="accessToken" type="com.hxp.oauth.server.entity.MybatisOauth2AccessToken">
		<result property="tokenId" column="token_id" />
		<result property="token" column="token" />
		<result property="authenticationId" column="authentication_id" />
		<result property="authentication" column="authentication" />
		<result property="refreshToken" column="refresh_token" />
	</resultMap>
	<resultMap id="refreshToken" type="com.hxp.oauth.server.entity.MybatisOauth2RefreshToken">
		<result property="tokenId" column="token_id" />
		<result property="token" column="token" />
		<result property="authentication" column="authentication" />
	</resultMap>
	<resultMap id="code" type="com.hxp.oauth.server.entity.MybatisOauth2Code">
		<result property="code" column="code" />
		<result property="authentication" column="authentication" />
	</resultMap>
	
	
	<insert id="storeAccessToken" parameterType="com.hxp.oauth.server.entity.MybatisOauth2AccessToken">
		insert into oauth_access_token (token_id, token, authentication_id, authentication, refresh_token) values (#{tokenId}, #{token ,javaType=byte[], jdbcType=BLOB,typeHandler=org.apache.ibatis.type.BlobTypeHandler}, #{authenticationId}, #{authentication ,javaType=byte[], jdbcType=BLOB,typeHandler=org.apache.ibatis.type.BlobTypeHandler}, #{refreshToken})
	</insert>
	
	<select id="readAccessToken" parameterType="string"  resultMap="accessToken">
			select token_id, token,authentication from oauth_access_token where token_id = #{tokenValue}
	</select>
	
	<delete id="removeAccessToken" parameterType="string" >
		delete from oauth_access_token where token_id = #{tokenValue}
	</delete>

	<insert id="storeRefreshToken" parameterType="com.hxp.oauth.server.entity.MybatisOauth2RefreshToken" >
		insert into oauth_refresh_token (token_id, token, authentication) values (#{tokenId}, #{token ,javaType=byte[], jdbcType=BLOB,typeHandler=org.apache.ibatis.type.BlobTypeHandler}, #{authentication ,javaType=byte[], jdbcType=BLOB,typeHandler=org.apache.ibatis.type.BlobTypeHandler})
	</insert>
	
	<select id="readRefreshToken" parameterType="string" resultMap="refreshToken" >
		select token_id, token,authentication from oauth_refresh_token where token_id = #{tokenValue}
	</select>
	
	<delete id="removeRefreshToken" parameterType="string" >
		delete from oauth_refresh_token where token_id = #{tokenValue}
	</delete>
	
	<delete id="removeAccessTokenUsingRefreshToken" parameterType="string" >
		delete from oauth_access_token where refresh_token = #{tokenValue}
	</delete>
	
	<select id="getAccessToken" parameterType="string" resultMap="accessToken">
		select token_id, token from oauth_access_token where authentication_id = #{authentication}
	</select>
</mapper>



hxpjava1
关注
专栏目录
五分钟带你玩转oauth2（十五）重写源码，自定义RedisTokenStore进行token单点登录的续期
小鲍侃java
02-03 3021
当涉及到token时面临了一个问题，就是token续期，在单点登录的环境中，登录用户因为可能访问第三方系统产生多个token,楼主的解决方式是判断同一个ip下，同一个用户，相同类型浏览器的token同时续 1.复制spring security提供的RedisTokenStore 2.修改readAuthentication方法，在验证token时会调用这个方法。 public class CustomRedisTokenStore implements TokenStore { @A.
Spring Security OAuth2 - 自定义 OAuth2.0 令牌发放接口地址
nimo10050的博客
06-30 2735
登录实现 拿浏览器网页登录举例: 基于 OAuth2.0-密码模式 实现网页登录的本质就是浏览器通过 /oauth/token 接口将 用户名 和 密码 等信息传给后台, 然后后台验证通过后返回一个有效的 token 给浏览器. 通过 curl 命令发送请求 请求头 Authorization 存放的是 clientId 和 secret 经过 Base64 编码后的结果 请求参数包括用户名(username)、密码(password)、授权模式(grant_type). curl --loca
springcloud整合oauth2-----令牌配置
weixin_45592424的博客
09-10 442
令牌配置
小白也能看懂的OAuth2讲解
最新发布
wendao76的专栏
09-30 2710
OAuth 2是一个重要的授权框架，它通过颁发令牌的方式实现了第三方应用对用户资源的访问控制，提高了系统的安全性和用户隐私保护。然而，使用OAuth 2也需要注意其对接流程的复杂性、安全漏洞的风险以及兼容性问题。在实际应用中，应根据具体场景选择合适的授权模式，并加强令牌管理和授权控制，以确保系统的安全性和稳定性。在OAuth2中，访问令牌（access token）具有时效性，即它们会在一段时间后过期。
Spring Security Oauth2核心组件之TokenStore
clyu的博客
01-10 3131
一、Token 1.1 访问令牌 public interface OAuth2AccessToken { public static String BEARER_TYPE = "Bearer"; public static String OAUTH2_TYPE = "OAuth2"; public static String ACCESS_TOKEN = "access_token";//授权服务器颁发的访问令牌。此值是必需的 public static String TOKEN_TYPE
Spring Security OAuth2 Opaque 令牌的简单使用指南
new_ord的博客
11-13 1988
在本文中，我们使用Spring Authorization Server设置OAuth2授权服务器，并学习了如何配置基于 Spring Security 的资源服务器应用程序来验证不透明令牌。
spring boot oauth2 支持不同登录类型 自定义token信息返回
Riteny的博客
06-09 1223
近期在项目需求上需要用到不同的用户类型，并且不同的用户，check_token 返回的信息也需要不一样 在这里例子发上来，希望能够帮到别人，同时也给自己留个记录 首先，先添加依赖 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</arti
Spring Security OAuth2 实现登录互踢的示例代码
08-19
在 Spring Security OAuth2 中，TokenStore 是一个负责存储和管理令牌的组件，通过调用 TokenStore 的 storeAccessToken 方法，可以将生成的令牌存储在数据库中。_tokenStore.removeAccessToken 方法用于删除原有的...
Spring Security Oauth2.0 实现短信验证码登录示例
08-28
Spring Security Oauth2.0 实现短信验证码登录示例 本篇文章主要介绍了 Spring Security Oauth2.0 实现短信验证码登录示例，具有一定的参考价值。下面是该示例的详细知识点解释： 一、Spring Security Oauth2.0 ...
spring security oauth2.0 （讲义+代码）
03-10
通过实现`OAuth2AccessDecisionManager` 和 `OAuth2AuthenticationManager`，我们可以基于用户角色、权限或者自定义逻辑来决定是否允许访问资源。 在实际项目中，我们还需要考虑安全性问题，比如防止CSRF攻击，这...
Spring Security OAuth2认证授权示例详解
08-25
在这个示例中，我们将深入探讨如何使用Spring Security OAuth2实现OAuth2授权流程。 1. **OAuth2的角色**： - **资源所有者**：通常是应用程序的用户，他们拥有数据，决定是否允许第三方应用访问。 - **客户端**...
Oauth2授权模式password单一账号并发问题
热门推荐
程序员的蜕变
11-06 1万+
无意中发现了一个巨牛的人工智能教程，忍不住分享一下给大家。教程不仅是零基础，通俗易懂，而且非常风趣幽默，像看小说一样！觉得太牛了，所以分享给大家。点这里以跳转到教程。 使用场景： app程序为提高安全性，使用oauth2进行授权，授权方式采用password方式，IOS和Android在获取token时使用同一个用户名/密码(未加密)。 存在问题： app与本...
Windows下的 "InternalOAuthError: Failed to obtain access token" 解决方案记录
空谷技术札记
10-22 5755
Passport Js 的 代理设置问题记录 与解决方案…
spring oauth2 OAuth2AuthenticationProcessingFilter 校验token过滤器
weixin_34399060的博客
11-20 1680
2019独角兽企业重金招聘Python工程师标准>>> ...
SpringSecurity采坑记录——404导致有效token被认为无效
Logger
03-23 3238
问题 昨天遇到了一个大坑，接手一个现有的项目使用的SpringSecurity的，本地跑起来之后postman调接口 token一直认证不了，但是用相同的token在dev服务器端访问确可以通过（本地和dev环境连的同一个redis）。 原因 先直接说原因：我postman调用的url不对，这个项目包含十几个微服务，都有context-path的配置，唯独这个服务没有，我postman调用时想当然的给加了context-path，实际上是404。 或许你会问，怎么连404都看不出来，然而是实际上我拿到的响
spring security oauth2 使用redis存token时报错
weixin_35688029的博客
03-27 1083
问题： 我将我的spring boot项目版本升到2.0.0.M7后，集成了spring security oauth2（默认版本），redis（默认版本），并且用redis来存储token。项目正常启动后，请求token时报错。 nested exception is java.lang.NoSuchMethodError: org.springframework.data.redis.con...
Spring Security中Token存储与会话管理：解析与实践
jakelihua
12-14 934
在Web开发中，Spring Security提供了丰富的支持，特别是在身份验证和授权方面。本文将深入探讨Token的存储位置、会话管理和Cookie、Session、Token的区别，以及它们在实际应用中的应用场景。
spring cloud oauth2 使用说明
weixin_43931625的博客
01-30 1038
springcloudoauth2使用说明 ************************ 导入jar包 <dependency> <groupId>org.springframework.cloud</groupId> <artifactId>spring-cloud-starter-oauth2&l...
评论 25
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

hxpjava1

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值