Spring Boot 集成 OAuth 2.0 Security 主要涉及使用 Spring Security OAuth2 客户端或资源服务器功能来保护你的应用程序。从 Spring Security 5.x 开始,OAuth 2.0 客户端和授权服务器支持被拆分到了单独的模块中,即 spring-security-oauth2-client
和 spring-security-oauth2-jose
(用于处理 JSON Web Tokens, JWTs 等)。
1. 添加依赖
首先,你需要在你的 Spring Boot 项目的 pom.xml
文件中添加相关的依赖。对于 OAuth 2.0 客户端,你需要:
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>
2. 配置 application.yml 或 application.properties
在 application.yml
或 application.properties
文件中,你需要配置 OAuth 2.0 客户端的详细信息,比如客户端 ID、客户端密钥、授权服务器 URL 等。
application.yml 示例:
spring:
security:
oauth2:
client:
registration:
google:
clientId: your-google-client-id
clientSecret: your-google-client-secret
scope: openid,profile,email
redirectUri: "{baseUrl}/oauth2/callback/{registrationId}"
facebook:
clientId: your-facebook-client-id
clientSecret: your-facebook-client-secret
scope: public_profile,email
redirectUri: "{baseUrl}/oauth2/callback/{registrationId}"
provider:
google:
authorizationUri: https://accounts.google.com/o/oauth2/v2/auth
tokenUri: https://www.googleapis.com/oauth2/v4/token
userInfoUri: https://openidconnect.googleapis.com/v1/userinfo
userNameAttribute: sub
facebook:
authorizationUri: https://www.facebook.com/v3.2/dialog/oauth
tokenUri: https://graph.facebook.com/v3.2/oauth/access_token
userInfoUri: https://graph.facebook.com/me?fields=id,name,email
userNameAttribute: id
3. 配置 Security 配置类
虽然 Spring Boot 会自动配置很多 OAuth 2.0 客户端的设置,但在某些情况下,你可能需要自定义安全配置。
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.antMatchers("/", "/error", "/webjars/**").permitAll()
.anyRequest().authenticated()
.and()
.oauth2Login();
}
}
4. 使用 OAuth 2.0 认证
现在,当用户尝试访问受保护的资源时,他们将被重定向到配置的 OAuth 2.0 提供者(如 Google 或 Facebook)进行登录。登录成功后,用户将被重定向回你的应用程序,并携带一个授权令牌。Spring Security 将使用这个令牌来验证用户并设置安全上下文。
5. 访问用户信息
你可以通过 OAuth2AuthenticationToken
或 Principal
来访问用户的详细信息,例如用户名、电子邮件等。
@GetMapping("/user")
public Principal user(Principal principal) {
return principal;
}
或者使用 @AuthenticationPrincipal
注入 OAuth2User
:
@GetMapping("/user-info")
public Map<String, Object> userInfo(@AuthenticationPrincipal OAuth2User principal) {
return principal.getAttributes();
}
这就是 Spring Boot 集成 OAuth 2.0 Security 的基本步骤。根据你的具体需求,你可能需要进行一些额外的配置或自定义。