SpringSecurity学习笔记之入门七（oauth2.0整合【Security实现oauth2.0】）

写代码要喊出来

已于 2022-01-20 10:46:36 修改

阅读量259

点赞数

分类专栏： SpringSecurity java 文章标签： java 安全 https

于 2021-08-06 19:15:50 首次发布

本文链接：https://blog.csdn.net/m0_49194578/article/details/119458774

版权

java 同时被 2 个专栏收录

94 篇文章 1 订阅

订阅专栏

SpringSecurity

19 篇文章 1 订阅

订阅专栏

授权码模式：

1.需要提供appid和app密码
2.配置回调地址
3.验证token接口

实现流程:
1.引入必要依赖:

security
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
oauth2
<dependency>
    <groupId>org.springframework.security.oauth</groupId>
    <artifactId>spring-security-oauth2</artifactId>
    <version>2.2.1.RELEASE</version>
</dependency>
jwt
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

2.修改security配置
完成这个部分（拦截+用户校验部分）

新增授权类AuthorizationConfig 继承AuthorizationServerConfigurerAdapter，
重写他的两个配置方法，
在类中注入我们配置好的加密类：

@Component
@EnableAuthorizationServer
public class AuthorizationConfig extends AuthorizationServerConfigurerAdapter{
	@Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
    }
    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
    }
}

在AuthorizationServerSecurityConfigurer 参数的方法中配置允许表单提交

 @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security.allowFormAuthenticationForClients().checkTokenAccess("permitAll()");
    }

在ClientDetailsServiceConfigurer参数的方法中配置

@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
    clients.inMemory()
            //appid
            .withClient("gaga")
            //appsecret
            .secret(passwordEncoder.encode("gaga_test_security"))
            //授权码
            .authorizedGrantTypes("authorization_code")
            //作用域
            .scopes("all")
            //资源id
            .resourceIds("employed_resource")
            //回调地址
            .redirectUris("127.0.0.1:18001/callback");
}

在实际开发中我们会将这些数据储存于DB，当后端认证通过以后执行这个方法的时候我们动态的查询数据库，将信息写入，类似权限添加部分；
这就完成了；

认证：
当我们访问

http://127.0.0.1:18001/oauth/authorize?client_id=employed&response_type=code

client_id写上自己的appid，type=code；

当我们访问的时候如果没有登录会提示我们登录；当我们登录成功后就会提示我们是否愿意让上面我们配置的appid的客户端获取我们的数据信息
当点击同意获取的时候，页面就会重定向到我们指定的回调函数，并且后面附带一个参数，授权码;
这时候我们后台就能通过回调地址获取到授权码，根据授权码生成Token
根据授权码获取acccessToken；访问：http://127.0.0.1:18001/oauth/token?code=授权码&grant_type=authorization_code&redirect_url=http://127.0.0.1:18001/callback&scope=all对应我们配置中的每一条配置;
这时候又会让我们登录，但是这时候是需要用appid的账户和密码进行登录，并不是用户；意思就是我们商家客户端拿到了用户的授权以后，用授权码换取token，这时候需要我们商家亮明身份换取token；
实际中就是我们拿到用户授权码，以商家的身份换取用户的token；注意需要post方法，认证方法选择basic，提供账号密码进行请求；就能获取到token

{
    "access_token": "9455a88a-f6c7-4916-bf51-4d5c054153c4",
    "token_type": "bearer",
    "expires_in": 43050,
    "scope": "all"
}

从oauth服务器拿到了token我们就可以去调用在我们这个中心注册了的商家的接口；

小结：大致思路就是当
1.第三方软件请求联合登录的时候，会拉起主应用，
2.主应用向服务器申请一个特殊的token[未登录提示登录]，
3.然后token交给第三方应用，
4.第三方应用拿着token就可以向主应用的服务器请求用户资源;[第三方应用未登录也要提示登录，也就是提供合作时我们分发的appid和密钥]

资源服务保护的配置：
在我们需要保护资源的服务中创建一个资源服务配置类ResurceConifg继承ResourceServerConfigurerAdapter类；
注入两个参数，appid以及密钥；后续需要db查询
，配置了这个的服务在被请求时必须带上签发的正确token才行；

@Configuration//启用配置
@EnableResourceServer//启用资源服务
public class ResurceConifg extends ResourceServerConfigurerAdapter {

    private String appid = "employed";//这里后续需要从数据库中查询遍历用下面的方法填入内存
    private String appSecret = "employed_test_security";//这里后续需要从数据库中查询遍历用下面的方法填入内存

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Primary
    @Bean
    public RemoteTokenServices remoteTokenServices() {
        //这里后续需要从数据库中查询遍历用下面的方法填入内存
        final RemoteTokenServices tokenServices = new RemoteTokenServices();
        //设置授权服务器check_token的端点完整地址
        tokenServices.setCheckTokenEndpointUrl("http://127.0.0.1:18001/oauth/check_token");
        //设置客户端id与secret，这里的secret不能使用加密！
        tokenServices.setClientId(appid);
        tokenServices.setClientSecret(appSecret);
        return tokenServices;
    }


    @Override
    public void configure(HttpSecurity http) throws Exception {
        //设置创建session策略.设置请求后；
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED);
        //@formatter:off
        //设置所有请求都必须授权
        http.authorizeRequests()
                .anyRequest().authenticated();
        //@formatter:on

    }

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        //设置保护的资源，这个资源就是注册在我们oauth服务器内存中个各个商家的资源id，这个服务中要配置好这个才能保护； 
        resources.resourceId("employed_resource").stateless(true);
    }
}