Spring Security Oauth2:RedisTokenStore(一)之Token内容揭秘

最新推荐文章于 2024-05-14 08:42:47 发布
最新推荐文章于 2024-05-14 08:42:47 发布
阅读量4.4w 收藏 46
点赞数 14
分类专栏： spring security
本文链接：https://blog.csdn.net/liuyanglglg/article/details/89077855
版权

[本文仅仅作为自我学习的笔记，有什么不对或误人之处，望大佬指正]

RedisTokenStore之Token内容揭秘

Token存储方式

Spring Security Oauth2 存储Token的方式有多种, 比如JWT、Jdbc（数据库）、Redis等，根据Oauth2继承类图，实现方式如下：
TokenStrore实现方式
使用Redis存储Token具有明显的优势，我自己开发学习的过程使用RedisTokenStore。

Redis key存储内容

在使用Redis存储token，spring security oauth2 会生成以下几个key, 直接放出RedisTokenStore的源码吧：

	private static final String ACCESS = "access:";
	private static final String AUTH_TO_ACCESS = "auth_to_access:";
	private static final String AUTH = "auth:";
	private static final String REFRESH_AUTH = "refresh_auth:";
	private static final String ACCESS_TO_REFRESH = "access_to_refresh:";
	private static final String REFRESH = "refresh:";
	private static final String REFRESH_TO_ACCESS = "refresh_to_access:";
	private static final String CLIENT_ID_TO_ACCESS = "client_id_to_access:";
	private static final String UNAME_TO_ACCESS = "uname_to_access:";

这几个存储的key都存了什么内容，有什么含义呢？
于是我打开redis-cli,迫不及待的看一下这个key “shield:oauth:access:x8U6xmAK0MeFDEJ0”（“shield:oauth:”是项目自定义的前缀）shield:oauth:access:x8U6xmAK0MeFDEJ0
尼玛，这是什么东西？我们来看一下RedisTokenStore的源码：

//spring secuity oauth2提供的一个序列化工具
private RedisTokenStoreSerializationStrategy serializationStrategy = new JdkSerializationStrategy();
//存储OAuth2AccessToken
public void storeAccessToken(OAuth2AccessToken token, OAuth2Authentication authentication) {
		byte[] serializedAccessToken = serialize(token);
		......
}
//把存储对象序列化
private byte[] serialize(Object object) {
	return serializationStrategy.serialize(object);
}

通过源码，我们发现spring security oauth2存储的是序列化后的对象，而不是json。（注意：应该是为提高存储效率，而不是加密操作）
那我们就以access:[AccessToken]这个key为例，在自己项目里写一个controller看看这个对象内容（自己debug也行，junit单元测试也行，自己能看到内容就好）

    @ApiOperation(value = "获取access存储内容", httpMethod = "GET")
    @GetMapping("/deserialize/access")
    public R<Object> deserializeAccessToken(
        @ApiParam("accessToken") @NotBlank(message = "accessToken不能为空") @RequestParam("accessToken") String accessToken
    ) {
        RedisTokenStoreSerializationStrategy serializationStrategy = new JdkSerializationStrategy();
        byte[] serializedKey = serializationStrategy.serialize(Prefix.REDIS_SHIELD_OAUTH2 + "access:" + accessToken);
        RedisConnection conn = connectionFactory.getConnection();
        byte[] bytes;
        try {
            bytes = conn.get(serializedKey);
        } finally {
            conn.close();
        }
        OAuth2AccessToken content = serializationStrategy.deserialize(bytes, OAuth2AccessToken.class);
        return RUtil.success(content);
    }

经过这个controller，还原成我们常用的json格式，如下：

{
    "access_token": "x8U6xmAK0MeFDEJ0",
    "token_type": "bearer",
    "refresh_token": "0qLDRZE70MeFDEI!",
    "expires_in": 29658,
    "scope": "server"
  }

好了，既然我们key的内容知道了，我们就逐一分析一下这几个key的用处。

1. access:[AccessToken]（对应对象：OAuth2AccessToken）

要如何获取这个key? 如果你已有spring security oauth2的项目（如果没有，可以github或spring官网找一个sample项目或自己搭建一个），可以类似这样发送一个请求：

http://localhost:6799/oauth/token?grant_type=password&username=wuji&password=12345678&client_id=app&client_secret=app

spring security oauth2获取AccessToken如果是密码授权方式（grant_type=password）除了携带用户名以及密码还要携带client_id和client_secret，当然，你也可以Http Basic方式将client_id和client_secret到请求头，如下：HTTP Basic
YXBwOmFwcA==是“client_id:client_secret” base64编码后的结果。
好了，我们试着发送一个请求，返回结果如下：

{
	//token，拿着这个token我们就可以资源（接口）了
    "access_token": "x8U6xmAK0MeFDEJ0",
    //token类型是一个票据类型，还有授权码类型等等
    "token_type": "bearer",
    //用与刷新access_token（资源访问token）的token
    "refresh_token": "0qLDRZE70MeFDEI!",
    //access_token剩余存活时间（单位是秒）
    "expires_in": 29658,
    //拿这个token可以访问那些范围内的资源
    "scope": "server"
  }
2. auth_to_access:[这里不再是AccessToken]

通过阅读源码，发现：

public String extractKey(OAuth2Authentication authentication) {
	//省略一些代码
	values.put(USERNAME, authentication.getName());
	values.put(CLIENT_ID, authorizationRequest.getClientId());
	values.put(SCOPE, OAuth2Utils.formatParameterList(new TreeSet<String>(authorizationRequest.getScope())));
	return generateKey(values);
}

auth_to_access:key, key是将username、client_id、scope三个值加密后的值，我们再看auth_to_access:存储的内容如下：

{
    "access_token": "x8U6xmAK0MeFDEJ0",
    "token_type": "bearer",
    "refresh_token": "0qLDRZE70MeFDEI!",
    "expires_in": 24126,
    "scope": "server"
  }

跟access:的内容一模一样，那我们就知道了，代码内部实现可以通过username、client_id、scope 3个字段获取AccessToken。

3.auth:[accessToken] (对应对象:OAuth2Authentication)

auth:存的内容如下：

{
    "authorities": [{
            "authority": "ROLE_USER"
        },
        {
            "authority": "USER_RETRIEVE"
        }
    ],
    "details": null,
    "authenticated": true,
    "userAuthentication": {
        "authorities": [{
                "authority": "ROLE_USER"
            },
            {
                "authority": "USER_RETRIEVE"
            }
        ],
        "details": {
            "client_secret": "app",
            "grant_type": "password",
            "client_id": "app",
            "username": "wuji"
        },
        "authenticated": true,
        "principal": {
            "password": null,
            "username": "wuji",
            "authorities": [{
                    "authority": "ROLE_USER"
                },
                {
                    "authority": "USER_RETRIEVE"
                }
            ],
            "accountNonExpired": true,
            "accountNonLocked": true,
            "credentialsNonExpired": true,
            "enabled": true
        },
        "credentials": null,
        "name": "wuji"
    },
    "credentials": "",
    "principal": {
        "password": null,
        "username": "wuji",
        "authorities": [{
                "authority": "ROLE_USER"
            },
            {
                "authority": "USER_RETRIEVE"
            }
        ],
        "accountNonExpired": true,
        "accountNonLocked": true,
        "credentialsNonExpired": true,
        "enabled": true
    },
    "oauth2Request": {
        "clientId": "app",
        "scope": ["server"],
        "requestParameters": {
            "grant_type": "password",
            "client_id": "app",
            "username": "wuji"
        },
        "resourceIds": [],
        "authorities": [],
        "approved": true,
        "refresh": false,
        "redirectUri": null,
        "responseTypes": [],
        "extensions": {},
        "grantType": "password",
        "refreshTokenRequest": null
    },
    "clientOnly": false,
    "name": "wuji"
}

主要包含当前登录用户的信息，以及用户附带的角色和和权限信息、生成Token时的授权方式等信息。

4.access_to_refresh:[accessToken]

access_to_refresh:存储的内容很简单，在通过password等授权方式获取token时的refreshToken

//refresh_token
grz0Xlzi0MeQwkx9
5.refresh_to_access:[refreshToken]

拿refreshToken去刷新accessToken时，会将新生成的accessToken放到refresh_to_access:

//access_token
TesxUOBt0MeRDDxA
6.refresh:[refreshToken]

存储内容如下：

{
 //refresh_toekn
  "value": "grz0Xlzi0MeQwkx9",
  //过期时间戳（mills）
  "expiration": 1557821765322
}

拿refreshToken去刷新accessToken时, 会先拿到这个KEY的信息，判断请求方的refresh token是否有效，无效的不能刷新access token。

7.refresh_auth:[refreshToken] (对应对象:OAuth2Authentication)

refresh_auth:存的内容与auth:类似，如下：

{
  "authorities": [
    {
      "authority": "ROLE_USER"
    },
    {
      "authority": "USER_RETRIEVE"
    }
  ],
  "details": null,
  "authenticated": true,
  "userAuthentication": {
    "authorities": [
      {
        "authority": "ROLE_USER"
      },
      {
        "authority": "USER_RETRIEVE"
      }
    ],
    "details": {
      "client_secret": "app",
      "grant_type": "password",
      "client_id": "app",
      "username": "wuji"
    },
    "authenticated": true,
    "principal": {
      "password": null,
      "username": "wuji",
      "authorities": [
        {
          "authority": "ROLE_USER"
        },
        {
          "authority": "USER_RETRIEVE"
        }
      ],
      "accountNonExpired": true,
      "accountNonLocked": true,
      "credentialsNonExpired": true,
      "enabled": true
    },
    "credentials": null,
    "name": "wuji"
  },
  "credentials": "",
  "principal": {
    "password": null,
    "username": "wuji",
    "authorities": [
      {
        "authority": "ROLE_USER"
      },
      {
        "authority": "USER_RETRIEVE"
      }
    ],
    "accountNonExpired": true,
    "accountNonLocked": true,
    "credentialsNonExpired": true,
    "enabled": true
  },
  "oauth2Request": {
    "clientId": "app",
    "scope": ["server"],
    "requestParameters": {
      "grant_type": "password",
      "client_id": "app",
      "username": "wuji"
    },
    "resourceIds": [],
    "authorities": [],
    "approved": true,
    "refresh": false,
    "redirectUri": null,
    "responseTypes": [],
    "extensions": {},
    "grantType": "password",
    "refreshTokenRequest": null
  },
  "clientOnly": false,
  "name": "wuji"
}
8.client_id_to_access:[client_id]

存储内容：

[{
    "access_token": "TesxUOBt0MeRDDxA",
    "token_type": "bearer",
    "refresh_token": "grz0Xlzi0MeQwkx9",
    "expires_in": 41714,
    "scope": "server"
}]

顾名思义，这个key将对应client_id的AccessToken对象存储了起来，因为不同的username、scope使用同一个client_id去请求获取token，所以这是一个list。

9.uname_to_access:[client_id:username]

存储内容：

[{
    "access_token": "TesxUOBt0MeRDDxA",
    "token_type": "bearer",
    "refresh_token": "grz0Xlzi0MeQwkx9",
    "expires_in": 41714,
    "scope": "server"
}]

这里也是一个list。

相关文章
Young~^_^
关注
  • 14
    点赞
  • 踩
  • 46
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
Spring-security-oauth2权限框架使用RedisTokenStore的坑和跨坑
ccren的专栏
11-24 7315
RedisTokenStore tokenStore = new RedisTokenStore(redisConnectionFactory); 在spring-security-oauth2鉴权框架中，使用redis存储令牌时，涉及序列化和反序列化， RedisTokenStore内置JdkSerializationStrategy，通过ALLOWED_CLASSES只有限制了支持反序列化...
Oauth2使用redisTokenStore实现单点登录，多点登陆
干饭两斤半
09-04 3318
前言： 最近开发认证服务的时候，发现使用redisTokenStore之后，多点登陆获取到的token跟第一次获取到的相同；不满足单点登录需求；故写此文章记录处理方法 1.追踪源码，搜寻资料；TokenService默认实现为DefaultTokenServices；查看源代码发现，DefaultTokenServices类的createAccessToken方法是创建token的；这里他创建之前，会根据OAuth2Authentication 去tokenStore中获取存储的token。由于同一个用户的
Java Redis获取Token
最新发布
qq_31532979的博客
05-14 650
在本篇博客中，我们介绍了如何利用Java和Redis来实现一个高性能的Token获取机制。通过使用Redis作为高速缓存，我们可以快速地存储和管理Token数据。同时，我们还通过具体的Java代码示例展示了如何实现Token的生成和存储过程。希望本篇博客能够对你在实际项目中实现Token机制有所帮助。如果你有任何问题或建议，欢迎在下方评论区留言。Jedis - Java Redis客户端：https://github.com/xetorthio/jedis。
SpringCloud+SpringBoot+OAuth2+Spring Security+Redis实现的微服务统一认证授权
Java笔记虾
02-02 4521
作者：myCatblog.csdn.net/WYA1993/article/details/85050120开发环境：Windows10Intellij Idea2018.2jdk1.8...
Spring Security OAuth2 使用Redis存储token键值详解
OceanSky的专栏
07-27 2万+
1.Spring Security OAuth2存储token值的方式由多种，所有的实现方式都是实现了TokenStore接口 InMemoryTokenStore:token存储在本机的内存之中 JdbcTokenStore:token存储在数据库之中 JwtTokenStore:token不会存储到任何介质中 RedisTokenStore:token存储在Redis数据库之中 2.看下R...
Spring Security OAuth2 缓存使用jackson序列化的处理
Innocence_0的博客
01-13 591
Spring Security OAuth2 缓存使用jackson序列化的处理
spring security oauth2 使用redis存token时报错
weixin_35688029的博客
03-27 1021
问题： 我将我的spring boot项目版本升到2.0.0.M7后，集成了spring security oauth2（默认版本），redis（默认版本），并且用redis来存储token。项目正常启动后，请求token时报错。 nested exception is java.lang.NoSuchMethodError: org.springframework.data.redis.con...
java spring security oauth2 动态 修改当前登录用户的 角色以及权限（无需重新登录）
ycg的博客
08-31 3551
/** * 动态修改自身权限，无需重新登录 * @return */ @PostMapping("/oneselfUpdateAuth") public R oneselfUpdateAuth() { //获取当前用户信息 BaseUser users = SecurityUtils.getUser(); //token存放的地方 RedisTokenStore tokenStore = new RedisTokenStore(redisConnectionFac
Spring Security OAuth2 实现登录互踢的示例代码
08-19
Spring Security OAuth2 是一个基于 OAuth2 协议的身份验证框架，提供了丰富的身份验证机制和授权机制。本文主要介绍了 Spring Security OAuth2 实现登录互踢的示例代码，通过示例代码详细介绍了如何实现用户单一...
Spring Security OAuth2集成短信验证码登录以及第三方登录
08-27
在实现集成登录认证组件时，我们需要了解OAuth2.0认证体系、SpringBoot、SpringSecurity以及Spring Cloud等相关知识。同时，我们还需要了解如何定义拦截器、如何在拦截的通知进行预处理、如何在UserDetailService....
springsecurity+oauth2+jwt实现单点登录demo
06-06
该资源是springsecurity+oauth2+jwt实现的单点登录demo，模式为授权码模式，实现自定义登录页面和自定义授权页面。应用数据存在内存中或者存在数据库中（附带数据库表结构），token存储分为数据库或者Redis。demo...
Spring Security OAuth2 token权限隔离实例解析
08-25
主要介绍了Spring Security OAuth2 token权限隔离实例解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
使用Spring Security OAuth2实现单点登录
08-25
oauth2: client: clientId: SampleClientId clientSecret: secret accessTokenUri: http://localhost:8081/auth/oauth/token userAuthorizationUri: http://localhost:8081/auth/oauth/authorize resource: ...
SPRINGSECURITY-OAUTH2之TOKENSTORE
mituan1234567的专栏
11-05 314
Springsecurity-oauth2之TokenStore - database- - 博客园 它就是用来保存token(封装在OAuth2AccessToken中) TokenStore的实现类 1>InMemoryTokenStore　　默认保存 ,把Token 存在内存中 2>JdbcTokenStore　　把access_token存在数据库中 3>JwkTokenStore　　将 access_token 保存到 JSON Web Key 4>JwtTok
token的生成原理 使用方法!
CJamenc的博客
11-04 7502
什么是token Token是服务端生成的一串字符串，以作客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，以后客户端只需带上这个Token前来请求数据即可，无需再次带上用户名和密码。 　　基于 Token 的身份验证 使用基于 Token 的身份验证方法，在服务端不需要存储用户的登录记录。流程是这样的： 客户端使用用户名跟密码请求登录 服务端收到请求，去验证用户名与密码 验证成功后，服务端会签发一个 Token，再把这个 Token 发送给客户端 客户端收到
Spring Security Oauth2:RedisTokenStore(二)之JSON序列化
热门推荐
既无风雨也无晴
02-26 3万+
RedisTokenStore:Json序列化 一. 前言 Spring Security Oauth2 存储Token的方式有多种, 比如JWT、Jdbc（数据库）、Redis等，但是对于一个大型的分布式服务应用，Redis存储方式应该是最佳选择。 二. 问题 我们使用默认的Redis存储方式，序列化到到Redis的数据如如下所示的的结果：图1这样数据，十分不直观，我们能不能把它们序列化成J...
Spring Security OAuth2 RedisTokenStore 和 JwtTokenStore
wangooo的博客
02-24 2224
区别 JWTTokenStore RedisTokenStore token信息，认证信息封装在JWT负载中 token信息，认证信息保存在Redis服务 token为加密的JWT负载 token为随机redis key 通过解密token获取用户认证信息 通过认证服务器校验token获取用户认证信息 优缺点 JWTTokenSt
oauth2的简单实现
zrqsyh的博客
04-11 1万+
Oauth2的学习总结   这段时间领导叫我学习oauth2准备一下，以后上spring cloud的时候可以上手就使用。陆陆续续学习了两周，三周还是更多，发现oauth2还是很复杂的。这篇文章就是想总结一下这段时间学习oauth2的东西，希望可以给刚学习oauth2的做一些铺垫，有些地方不对的还希望指正。 1.oauth2的简单介绍   oauth2总体我的理解是做认证授权的，最常见的就是第三方...
Spring security oauth2 Authorization Server Token增强
06-03
Spring Security OAuth2 Authorization Server可以通过Token增强器（Token Enhancer）来为授权后返回的Access Token添加额外的信息。Token增强器是一个接口，它接收一个Access Token并返回一个增强后的Access Token。在Authorization Server配置类中，可以通过调用tokenEnhancer()方法来设置Token增强器，示例代码如下： ```java @Configuration @EnableAuthorizationServer public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter { @Autowired private AuthenticationManager authenticationManager; @Autowired private UserDetailsService userDetailsService; @Autowired private DataSource dataSource; @Bean public TokenStore tokenStore() { return new JdbcTokenStore(dataSource); } @Bean public JwtAccessTokenConverter accessTokenConverter() { JwtAccessTokenConverter converter = new JwtAccessTokenConverter(); converter.setSigningKey("123456"); return converter; } @Bean public TokenEnhancer tokenEnhancer() { return new CustomTokenEnhancer(); } @Override public void configure(ClientDetailsServiceConfigurer clients) throws Exception { clients.jdbc(dataSource); } @Override public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception { endpoints.authenticationManager(authenticationManager) .userDetailsService(userDetailsService) .tokenStore(tokenStore()) .accessTokenConverter(accessTokenConverter()) .tokenEnhancer(tokenEnhancer()); } @Override public void configure(AuthorizationServerSecurityConfigurer oauthServer) throws Exception { oauthServer.tokenKeyAccess("permitAll()") .checkTokenAccess("isAuthenticated()") .allowFormAuthenticationForClients(); } } ``` 在上面的代码中，CustomTokenEnhancer是一个自定义的Token增强器，它可以在Access Token中添加额外的信息。示例代码如下： ```java public class CustomTokenEnhancer implements TokenEnhancer { @Override public OAuth2AccessToken enhance(OAuth2AccessToken accessToken, OAuth2Authentication authentication) { Map<String, Object> additionalInfo = new HashMap<>(); additionalInfo.put("organization", authentication.getName() + "@test.com"); ((DefaultOAuth2AccessToken) accessToken).setAdditionalInformation(additionalInfo); return accessToken; } } ``` 在上面的代码中，我们向Access Token中添加了一个名为“organization”的信息，它的值为当前用户的用户名加上@test.com。这种方式可以为Access Token添加任何我们需要的信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值