springsecurity整合oauth2

已于 2022-06-02 17:42:18 修改
阅读量1.3k 收藏 6
点赞数
文章标签： java spring boot spring
于 2022-06-02 17:40:04 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/limpiditysky/article/details/125084682
版权
什么是oauth？

oauth协议为用户资源的授权提供了一个安全的、开放而又简易的标准。与以往的授权方式不同之处是oauth的授权不会使第三方触及到用户的帐号信息(如用户名与密码)，即第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权，因此oauth是安全的。
举个栗子：比如说我进入了一个网页，这个网页提示我要登陆，但是我不想在这个网站再注册一个账号，刚好提供了微信登陆，支付宝登陆。这两款软件是我们使用很广泛的软件，大家应该都有的，然后我点微信登陆，弹出一个二维码，提示我扫码，授权给这个网站就登陆成功了。

手写一个类似微信给第三方授权的demo
maven
<parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.2.1.RELEASE</version>
    </parent>
        <dependencies>
            <!-- SpringBoot整合Web组件 -->
            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-web</artifactId>
            </dependency>
            <dependency>
                <groupId>org.projectlombok</groupId>
                <artifactId>lombok</artifactId>
            </dependency>

            <!-- springboot整合freemarker -->
            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-freemarker</artifactId>
            </dependency>
            <!-->spring-boot 整合security -->
            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-starter-security</artifactId>
            </dependency>
            <!-- Spring Security OAuth2 -->
            <dependency>
                <groupId>org.springframework.security.oauth</groupId>
                <artifactId>spring-security-oauth2</artifactId>
                <version>2.2.1.RELEASE</version>
            </dependency>
            <dependency>
                <groupId>io.jsonwebtoken</groupId>
                <artifactId>jjwt</artifactId>
                <version>0.6.0</version>
            </dependency>
            <dependency>
                <groupId>com.alibaba</groupId>
                <artifactId>fastjson</artifactId>
                <version>1.2.62</version>
            </dependency>
            <dependency>
                <groupId>org.apache.commons</groupId>
                <artifactId>commons-lang3</artifactId>
            </dependency>
        </dependencies>
oauth配置
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerSecurityConfigurer;
import org.springframework.stereotype.Component;

/**
 * 认证授权Server端
 */
@Component
@EnableAuthorizationServer
public class AuthorizationConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        //允许表单提交
        security.allowFormAuthenticationForClients()
                .checkTokenAccess("permitAll()");
    }

    /**
     * appid mayikt secret= 123456
     *
     * @param clients
     * @throws Exception
     */
    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                //client_id
                .withClient("mykt")
                // 第二次登陆
                .secret(passwordEncoder.encode("123456"))
                // 授权码
                .authorizedGrantTypes("authorization_code")
                // 作用域
                .scopes("all")
                // 资源的id
                .resourceIds("mayikt_resource")
                // 回调地址
                .redirectUris("http://www.mayikt.com/callback");
    }
}
PasswordEncoder Bean配置
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;

@Configuration
public class PasswordEncoderConfig {
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

启动项目，浏览器中输入

//这里的client_id参数是oauth里面client_id配置的那个
http://localhost:8080/oauth/authorize?client_id=mykt&response_type=code

请求的这个地址是oauth封装好的接口，这个就好比如一些网站点微信登陆弹出来的二维码，他这个二维码就是由这个地址转换的。
在这里插入图片描述
这里就出现这种情况，后面我查了一下，说是高版本oauth要配合security使用，那么我们就一起把security整合起来

security配置，这个时候我们要将PasswordEncoder Bean配置移到这里
import org.springframework.context.annotation.Bean;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.stereotype.Component;


@Component
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    /**
     * 需要填写 认证账户  mykt
     * @param auth
     * @throws Exception
     */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
        .withUser("mykt")
        .password(passwordEncoder().encode("mykt"))
        .authorities("/*");

    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest().authenticated() //所有请求都需要通过认证
                .and()
                .formLogin() //form表单验证
                .and()
                .csrf().disable(); //关跨域保护
    }
}

登陆账号密码已经卸载security配置中（如果想动态从数据获取，欢迎大家看我领一篇spring-security详解）
在这里插入图片描述
登陆进去
在这里插入图片描述
这个就和微信授权页面一样，我们点同意，选第一个
在这里插入图片描述
现在呢出现404，我没有这个接口，这个不重要，重要的是url中code的值。

http://www.mayikt.com/callback?code=5ZJ07r

然后我们将code值填入到这个地址中code属性中，redirect_uri回调地址，scope是所有权限，这个地址获取到token

http://localhost:8080/oauth/token?code=5ZJ07r&grant_type=authorization_code&redirect_uri=http://www.mayikt.com/callback&scope=all

将这个地址在浏览器中打开
在这里插入图片描述
注意： 这个地方呢不上我们上次输入的账号密码了是oauth里面的
在这里插入图片描述
输入正确的账号密码之后，出现这种情况
在这里插入图片描述
什么意思呢？就是这个接口不是get类型，是post，把地址复制出来，那么我们用postman看看。
在这里插入图片描述

这里获取到的token就好比如拿到接口服务的通行证，那么我们接口模拟服务端，新创建一个服务8001
资源配置
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.context.annotation.Primary;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;
import org.springframework.security.oauth2.provider.token.RemoteTokenServices;

/**
 * 资源配置类
 */
@Configuration
@EnableResourceServer
public class ResourcesConfig extends ResourceServerConfigurerAdapter {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Primary
    @Bean
    public RemoteTokenServices remoteTokenServices(){
        RemoteTokenServices tokenServices =new RemoteTokenServices();
        //验证token地址
        tokenServices.setCheckTokenEndpointUrl("http://localhost:8080/oauth/check_token");
        tokenServices.setClientId("mykt");
        tokenServices.setClientSecret("123456");
        return  tokenServices;
    }

    @Override
    public void configure(HttpSecurity http) throws Exception {
        //设置创建session策略
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED);
        //@formatter:off
        //所有请求必须授权
        http.authorizeRequests()
                .anyRequest().authenticated();
        //@formatter:on
    }

    public void configure(ResourceServerSecurityConfigurer resource){
        //资源id唯一
        resource.resourceId("mykt_resource").stateless(true);
    }

}
模拟
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;
@RestController
public class MemberController {
    @GetMapping("/getMember")
    public String getMember() {
        return "我是会员服务接口";
    }
}
可以看到getMember接口很简单的一个接口，那我们最简单的方式就是：http://localhost:8081/getMember 是不是就可以获取到数据了，nonono！之前你是不是获取到鉴权的token，那么这个token就是你现在访问的通信证，没有通信证就无法访问，那么这么做有什么好处？可以验证用户信息，只对认证的用户才能调用。那么微信网页第三方登陆是不是一个道理。
没有传token，就返回没有这个资源

在这里插入图片描述

然后按照上面的操作拿到token再传进去，就可以正常访问

在这里插入图片描述

无皮村恶霸
关注
spring security oauth2整合
07-27
spring security oauth2整合的详细说明文档，demo下载地址在文档中已经给出。其中demo中包含了详细的代码注释。
Spring Security整合Oauth2实现流程详解
09-07
本文将详细讲解如何整合Spring Security与OAuth2，以实现基于password模式的认证。 首先，我们需要创建一个新的Spring Boot项目，并添加必要的依赖。在`pom.xml`文件中，引入Spring Security、Spring Web、OAuth2的...
Spring Boot Security 整合 OAuth2 设计安全API接口服务
weixin_33701617的博客
03-26 498
简介 OAuth是一个关于授权（authorization）的开放网络标准，在全世界得到广泛应用，目前的版本是2.0版。本文重点讲解Spring Boot项目对OAuth2进行的实现，如果你对OAuth2不是很了解，你可以先理解 OAuth 2.0 - 阮一峰，这是一篇对于oauth2很好的科普文章。 OAuth2概述 oauth2根据使用场景不同，分成了4种模式 授权码模式（authoriza...
Spring Boot 与 Spring Security 的集成及 OAuth2 实现
最新发布
2202_76097976的博客
08-24 3502
本文介绍了如何在 Spring Boot 应用中集成 Spring Security 和 OAuth2 进行安全保护。首先，配置了 Spring Security 来控制访问权限，允许匿名访问部分资源并保护其他资源。接着，通过 OAuth2 客户端实现与 Google 的授权集成，使应用能够获取访问令牌并保护 API。最后，展示了前端如何使用访问令牌请求受保护的资源，从而增强应用的安全性和用户体验。
SpringSecurity整合OAuth2.0
玩转Java
12-10 1万+
springsecurity整合aoth2.0
springSecurity整合oauth2
weixin_41849346的博客
09-07 1023
springSecurity的基础上整合oauth2 springboot整合springSecurity链接: https://blog.csdn.net/weixin_41849346/article/details/108443507 pom.xml <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-securi
Spring Security与OAuth2：构建安全Web应用的强大组合
热门推荐
聚焦于深度解析最新的编程语言特性、框架升级、架构设计、开发工具和最佳实践，涵盖Web前端（如Vue3, React, Angular等）、后端开发（如Node.js, Java, Python等）、移动端开发（iOS, Android原生及跨平台开发）
03-11 3万+
通过深入学习并实践Spring Security与OAuth2的整合技术，开发者能够有效应对复杂的业务场景，为应用程序提供严密的身份验证和授权机制。持续关注最新的安全研究和技术动态，并在实际项目中不断调整和完善安全策略，才能确保系统始终处于一个高效、稳定且安全的状态。同时，也鼓励读者将这些原则应用于微服务架构、多租户环境以及其他复杂系统的设计与实施过程中。
Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权
04-22
4. **整合Spring Security与OAuth2**：在Spring Boot中，我们可以使用`spring-security-oauth2-autoconfigure`库来简化OAuth2的配置。通过设置`@EnableAuthorizationServer`和`@EnableResourceServer`注解，分别启动...
Spring Security+OAuth2 精讲，打造企业级认证与授权
10-12
在课程中，新增的第10+11章可能涵盖了Spring Security与OAuth2的深度整合，这包括： 1. 如何使用Spring Security作为OAuth2的授权服务器，实现用户登录验证和令牌发放。 2. 客户端注册和认证：如何在Spring ...
SpringSecurity整合Oauth2
daiyuenlong110的博客
05-27 674
一、创建项目并导入依赖 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> <dependency> <groupId>org.springframework.boot</groupId&g..
Secure Spring REST API使用OAuth2
xdy3008的专栏
07-06 5018
Spring REST API 这一次使用的是 OAuth2，这篇文章简单介绍在一个 REST API 中使用 Spring OAuth2 需要什么。我们将使用两个不同的客户端[Postman和基于Java应用程序的Spring RestTemplate]来访问OAuth2保护的REST资源。 如果你已经熟悉 OAuth2 概念，那么您可以直接跳过理论部分，直接进入代码实现。与往常一样，完整
Spring OAuth2
github_38730134的博客
02-25 2394
Spring OAuth2 OAuth2协议在Spring Resource中的实现为Spring OAuth2。Spring OAuth2分为OAuth2 Provider和OAuth2 Client OAuth2 Provider OAuth2 Provider负责公开被OAuth2保护起来的资源。OAuth2 Provider需要配置代表用户的OAuth2客户端信息，通过管理和验证OAuth2令牌来控制客户端是否可以访问受保护资源，同时还必须为用户提供认证API接口 OAuth2 Provider的角
Spring中的OAuth2
qq_45726327的博客
03-24 2086
Auth” 表示 “授权” Authorization“O” 是 Open 的简称，表示 “开放”连在一起就表示，OAuth2是一种开放授权协议。
SpringBoot Spring Security OAuth2 密码模式
csl12919的博客
11-28 1205
SpringBoot Spring Security OAuth2 授权码模式_没有计划。的博客-CSDN博客我们可以通过Spring Security OAuth2构建一个授权服务器来验证用户身份以提供access_token，并使用这个access_token来从资源服务器请求数据。：用户认证就是判断一个用户的身份是否合法的过程，用户去访问系统资源时系统要求验证用户的身份信息，身份合法方可继续访问，不合法则拒绝访问。常见的用户身份认证方式有：用户名密码登录，二维码登录，手机短信登录，指纹认证等方式。
spring security 整合 oauth2
qq_35140272的博客
09-10 1296
前言 之前一篇博客学过security的核心,这次整合一下oauth2,它也是市场上比较流行的接口验证的一种方式了 引入pom 文中提及的整合oauth2的方式是建立在boot 的基础上的.在引入的boot 和security的start之后,我们还需要引入oauth2,注意,它不是start,另外我们计划将token存储在redis中,所以我们还需要引入redis的start &l...
Spring Security 整合OAuth2
程序员子龙
11-11 1939
OAuth2.0介绍 OAuth（Open Authorization）是一个关于授权（authorization）的开放网络标准，允许用户授权第三方 应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他 们数据的所有内容。OAuth在全世界得到广泛应用，目前的版本是2.0版。 OAuth协议：rfc6749 协议特点： 简单：不管是OAuth服务提供者还是应用开发者，都很易于理解与使用； 安全：没有涉及到用户密钥等信息，更安全更灵活； ..
SpringSecurity整合OAuth2
残影的博客
12-23 2262
SpringSecurity整合OAuth2一、概述1.1 OAuth2.0 是什么？1.2 OAuth2.0 角色解释1.3 OAuth 2.0 运行流程1.4 OAuth 2.0 授权模式二、密码模式 一、概述 1.1 OAuth2.0 是什么？ OAuth(Open Authorization)是一个开放标准，允许用户让第三方应用访问该用户在某一网站上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用。OAuth 允许用户提供一个令牌，而不是用户名和密码来访问他们存放
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值