SpringBoot学习笔记（十五：OAuth2 ，java面试问项目中遇到的技术难点

最新推荐文章于 2024-06-27 15:26:06 发布
最新推荐文章于 2024-06-27 15:26:06 发布
阅读量1k 收藏 30
点赞数 18
分类专栏： 2024年程序员学习 文章标签： java spring boot 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_54406581/article/details/137096606
版权

public void configure(ClientDetailsServiceConfigurer clients) throws Exception {

clients.inMemory()

.withClient(“client-demo”)

.secret(passwordEncoder.encode(“123”))

.authorizedGrantTypes(“password”) //这里配置为密码模式

.scopes(“read_scope”);

}

@Override

public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {

endpoints.authenticationManager(authenticationManager);//密码模式必须添加authenticationManager

}

@Override

public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {

security.allowFormAuthenticationForClients()

.checkTokenAccess(“isAuthenticated()”);

}

}

  • 客户端的注册：这里通过inMemory的方式在内存中注册客户端相关信息；实际项目中可以通过一些管理接口及界面动态实现客户端的注册

  • 校验Token权限控制：资源服务器如果需要调用授权服务器的/oauth/check_token接口校验token有效性，那么需要配置checkTokenAccess(“isAuthenticated()”)

  • authenticationManager配置：需要通过endpoints.authenticationManager(authenticationManager)将Security中的authenticationManager配置到Endpoints中，否则，在Spring Security中配置的权限控制将不会在进行OAuth2相关权限控制的校验时生效。

1.1.3、Spring Security配置

通过Spring Security来完成用户及密码加解密等配置：

/**

  • @Author 三分恶

  • @Date 2020/5/20

  • @Description SpringSecurity 配置

*/

@Configuration

@EnableWebSecurity

public class SecurityConfig extends WebSecurityConfigurerAdapter {

@Bean

public PasswordEncoder passwordEncoder() {

return new BCryptPasswordEncoder();

}

@Bean

public AuthenticationManager authenticationManager() throws Exception {

return super.authenticationManager();

}

@Override

protected void configure(AuthenticationManagerBuilder auth) throws Exception {

auth.inMemoryAuthentication()

.withUser(“fighter”)

.password(passwordEncoder().encode(“123”))

.authorities(new ArrayList<>(0));

}

@Override

protected void configure(HttpSecurity http) throws Exception {

//所有请求必须认证

http.authorizeRequests().anyRequest().authenticated();

}

}

1.2、资源服务器

资源服务器的职责：

  • token的校验

  • 给与资源

1.2.1、资源服务器配置

资源服务器依赖一样，而配置则通过继承自ResourceServerConfigurerAdapter的配置类来实现：

/**

  • @Author 三分恶

  • @Date 2020/5/20

  • @Description

*/

@Configuration

@EnableResourceServer

public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

@Bean

public RemoteTokenServices remoteTokenServices() {

final RemoteTokenServices tokenServices = new RemoteTokenServices();

tokenServices.setClientId(“client-demo”);

tokenServices.setClientSecret(“123”);

tokenServices.setCheckTokenEndpointUrl(“http://localhost:8090/oauth/check_token”);

return tokenServices;

}

@Override

public void configure(ResourceServerSecurityConfigurer resources) throws Exception {

resources.stateless(true);

}

@Override

public void configure(HttpSecurity http) throws Exception {

//session创建策略

http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED);

//所有请求需要认证

http.authorizeRequests().anyRequest().authenticated();

}

}

主要进行了如下配置：

  • TokenService配置：在不采用JWT的情况下，需要配置RemoteTokenServices来充当tokenServices，它主要完成Token的校验等工作。因此需要指定校验Token的授权服务器接口地址

  • 同时，由于在授权服务器中配置了/oauth/check_token需要客户端登录后才能访问，因此也需要配置客户端编号及Secret；在校验之前先进行登录

  • 通过ResourceServerSecurityConfigurer来配置需要访问的资源编号及使用的TokenServices

1.2.2、资源服务接口

接口比较简单：

/**

  • @Author 三分恶

  • @Date 2020/5/20

  • @Description

*/

@RestController

public class ResourceController {

@GetMapping(“/user/{username}”)

public String user(@PathVariable String username){

return “Hello !”+username;

}

}

1.3、测试

授权服务器使用8090端口启动，资源服务器使用默认端口。

1.3.1、获取token

访问/oauth/token端点，获取token：

  • url:   http://localhost:8090/oauth/token?username=fighter&password=123&scope=read_scope&grant_type=password

在这里插入图片描述

  • 请求头：

在这里插入图片描述

  • 返回的token

在这里插入图片描述

1.3.2、使用获取到的token访问资源接口
  • 使用token调用资源，访问http://localhost:8080/user/fighter，注意使用token添加Bearer请求头

在这里插入图片描述

相当于在Headers中添加 Authorization:Bearer 4a3c351d-770d-42aa-af39-3f54b50152e9。

OK，可以看到资源正确返回。

这里仅仅是密码模式的精简化配置，在实际项目中，某些部分如：

  • 资源服务访问授权服务去校验token这部分可能会换成Jwt、Redis等tokenStore实现，
  • 授权服务器中的用户信息与客户端信息生产环境从数据库中读取，对应Spring Security的UserDetailsService实现类或用户信息的Provider

2、授权码模式

很多网站登录时，允许使用第三方网站的身份，这称为"第三方登录"。所谓第三方登录，实质就是 OAuth 授权。

例如用户想要登录 A 网站，A 网站让用户提供第三方网站的数据，证明自己的身份。获取第三方网站的身份数据，就需要 OAuth 授权。

以A网站使用GitHub第三方登录为例，流程示意如下：

在这里插入图片描述

接下来，简单地实现GitHub登录流程。

2.1、应用注册

在使用之前需要先注册一个应用，让GitHub可以识别。

  • 访问地址：https://github.com/settings/applications/new，填写注册表

在这里插入图片描述

应用的名称随便填，主页 URL 填写http://localhost:8080，回调地址填写 http://localhost:8080/oauth/redirect。

  • 提交表单以后，GitHub 应该会返回客户端 ID（client ID）和客户端密钥（client secret），这就是应用的身份识别码

在这里插入图片描述

2.2、具体代码

  • 只需要引入web依赖：

org.springframework.boot

spring-boot-starter-web

  • GitHub相关配置

github.client.clientId=29d127aa0753c12263d7

github.client.clientSecret=f3cb9222961efe4c2adccd6d3e0df706972fa5eb

github.client.authorizeUrl=https://github.com/login/oauth/authorize

github.client.accessTokenUrl=https://github.com/login/oauth/access_token

github.client.redirectUrl=http://localhost:8080/oauth/redirect

github.client.userInfoUrl=https://api.github.com/user

  • 对应的配置类

@Component

@ConfigurationProperties(prefix = “github.client”)

public class GithubProperties {

private String clientId;

private String clientSecret;

private String authorizeUrl;

private String redirectUrl;

private String accessTokenUrl;

private String userInfoUrl;

//省略getter、setter

}

  • index.html：首页比较简单,一个链接向后端发起登录请求
网站首页

Login in with GitHub

  • GithubLoginController.java：

* 使用RestTemplate发送http请求

* 使用Jackson解析返回的json，不用引入更多依赖

* 快捷起见，发送http请求的方法直接写在控制器中，实际上应该将工具方法分离出去

* 同样是快捷起见，返回的用户信息没有做任何解析

@Controller

public class GithubLoginController {

@Autowired

GithubProperties githubProperties;

/**

  • 登录接口，重定向至github

  • @return 跳转url

*/

@GetMapping(“/authorize”)

public String authorize() {

String url =githubProperties.getAuthorizeUrl() +

“?client_id=” + githubProperties.getClientId() +

“&redirect_uri=” + githubProperties.getRedirectUrl();

return “redirect:” + url;

}

/**

  • 回调接口，用户同意授权后，GitHub会将授权码传递给此接口

  • @param code GitHub重定向时附加的授权码，只能用一次

  • @return

*/

@GetMapping(“/oauth/redirect”)

@ResponseBody

public String redirect(@RequestParam(“code”) String code) throws JsonProcessingException {

System.out.println(“code:”+code);

// 使用code获取token

String accessToken = this.getAccessToken(code);

// 使用token获取userInfo

String userInfo = this.getUserInfo(accessToken);

return userInfo;

}

/**

  • 使用授权码获取token

  • @param code

  • @return

*/

private String getAccessToken(String code) throws JsonProcessingException {

String url = githubProperties.getAccessTokenUrl() +

“?client_id=” + githubProperties.getClientId() +

“&client_secret=” + githubProperties.getClientSecret() +

“&code=” + code +

“&grant_type=authorization_code”;

// 构建请求头

HttpHeaders requestHeaders = new HttpHeaders();

// 指定响应返回json格式

requestHeaders.add(“accept”, “application/json”);

// 构建请求实体

HttpEntity requestEntity = new HttpEntity<>(requestHeaders);

RestTemplate restTemplate = new RestTemplate();

// post 请求方式

ResponseEntity response = restTemplate.postForEntity(url, requestEntity, String.class);

String responseStr = response.getBody();

// 解析响应json字符串

ObjectMapper objectMapper = new ObjectMapper();

JsonNode jsonNode = objectMapper.readTree(responseStr);

String accessToken = jsonNode.get(“access_token”).asText();

System.out.println(“accessToken:”+accessToken);

return accessToken;

}

/**

  • @param accessToken 使用token获取userInfo

  • @return

*/

private String getUserInfo(String accessToken) {

String url = githubProperties.getUserInfoUrl();

// 构建请求头

HttpHeaders requestHeaders = new HttpHeaders();

// 指定响应返回json格式

requestHeaders.add(“accept”, “application/json”);

// AccessToken放在请求头中

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
img
img
img
img

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！

img
img

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新
如果你觉得这些内容对你有帮助，可以添加V：vip1024b 备注Java获取（资料价值较高，非无偿）
img

读者福利

由于篇幅过长，就不展示所有面试题了，感兴趣的小伙伴

35K成功入职：蚂蚁金服面试Java后端经历！「含面试题+答案」

35K成功入职：蚂蚁金服面试Java后端经历！「含面试题+答案」

35K成功入职：蚂蚁金服面试Java后端经历！「含面试题+答案」

更多笔记分享

35K成功入职：蚂蚁金服面试Java后端经历！「含面试题+答案」
担。**
[外链图片转存中…(img-7IzOn8ay-1711582278303)]
[外链图片转存中…(img-md8sWFl9-1711582278304)]
[外链图片转存中…(img-sJiXlsWu-1711582278304)]
[外链图片转存中…(img-DWMK5wzL-1711582278305)]

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！

[外链图片转存中…(img-fApT5C9i-1711582278306)]
[外链图片转存中…(img-yQNCTgpv-1711582278306)]

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新
如果你觉得这些内容对你有帮助，可以添加V：vip1024b 备注Java获取（资料价值较高，非无偿）
[外链图片转存中…(img-eEQzHJZ5-1711582278307)]

读者福利

由于篇幅过长，就不展示所有面试题了，感兴趣的小伙伴

[外链图片转存中…(img-3wBf4KWW-1711582278307)]

[外链图片转存中…(img-aZHHrSPw-1711582278308)]

[外链图片转存中…(img-Jvq39LVM-1711582278308)]

更多笔记分享

[外链图片转存中…(img-8Q11gSjp-1711582278308)]

程序猿卡卡
关注
专栏目录
SpringBoot-OAuth2
azto的博客
04-26 536
OAuth2协议什么是OAuth2协议OAuth2的基本角色Spirng Security 结合 OAuth2 什么是OAuth2协议 OAuth2是一个开放的标准，允许第三方用户访问该用户在某一个网站上存储的私密资源。 最常见的使用场景，各种第三方登录，如登录网易云音乐使用QQ登录等等，一般这种都会设计OAuth协议。 无需将用户和密码提供给第三方应用 如上述的登录网易云音乐。第三方就是网易云音...
OAuth2.0授权码模式实战教程
最新发布
kkchenjj的博客
07-17 1046
重定向用户至授权服务器：客户端应用将用户重定向到授权服务器的授权端点。用户授权：用户在授权服务器上登录并授权客户端应用访问其资源。授权码返回：授权服务器将用户重定向回客户端应用，并附带一个授权码。交换访问令牌：客户端应用使用授权码向授权服务器请求访问令牌。
SpringBoot搭建OAuth2
m0_60681411的博客
05-28 2240
本文描述了通过SpringBoot从无到有的搭建OAuth2服务器的一系列实践过程。其中包括OAuth2的授权方式介绍，测试场景，过程中遇到的困难等，对新接触OAuth2的人有较大帮助。
SpringBoot 整合 oauth2（三）实现 token 认证
weixin_34067102的博客
05-14 1254
关于session和token的使用，网上争议一直很大。 总的来说争议在这里： session是空间换时间，而token是时间换空间。session占用空间，但是可以管理过期时间，token管理部了过期时间，但是不占用空间. sessionId失效问题和token内包含。 session基于cookie...
Springboot整合OAuth2
qq_41566980的博客
08-28 7075
概述：Spring OAuth2有四种授权方式： 1、授权码模式（authorization code） 2、简化模式（implicit） 3、密码模式（resource owner password credentials） 4、客户端模式（client credentials） 其中用得比较多的是密码模式和客户端模式，下面就举例客户端模式，本示例项目中认证服务和资源服务是同一服务 参考文章地址 一、前期准备 1.引入maven依赖 2.数据库脚本导入 -- ----------------------
springboot2整合oauth2
热门推荐
qq_37170583的博客
06-15 6万+
1.背景 项目由springboot1.5.X升级到springboot2.0.0后，导致各组件API以及依赖包发生了变化。 完整项目demo：https://gitee.com/zkane/springboot2-oauth2.git 2.spring security Spring Security 从入门到进阶系列教程网址：http://www.spring4all.com/ar...
SpringBoot学习笔记（十五：OAuth2 ）
2401_84093490的博客
05-04 1490
《一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码》，点击传送门，即可获取！{“access_token”:“ACCESS_TOKEN”,“token_type”:“bearer”,“expires_in”:2592000,“refresh_token”:“REFRESH_TOKEN”,“scope”:“read”,“uid”:100101,“info”:{…}}上面 JSON 数据中，access_token字段就是令牌，A 网站在后端拿到了。有些 Web 应用是纯前端应用，没有后
springboot-oauth2:使用oauth2和Jpa存储库的Spring Boot REST项目
04-17
这个项目是一个综合性的学习示例，涵盖了现代Web开发中的多个关键领域，对于理解Spring Boot、JPA、OAuth2以及RESTful服务的实践具有很高的价值。开发者可以通过研究该项目，深入学习这些技术的使用和整合。
springboot-oauth2:Spring Boot Oauth2.0
05-17
springboot-oauth2 Spring Boot Oauth2.0 测试 1.运行工程 2.无token时，访问接口： POST 接口响应： { "error": "unauthorized", "error_description": "Full authentication is required to access this ...
springboot-oauth2-jwt-example:通过JWT令牌学习Oauth2
05-03
这个项目名为“springboot-oauth2-jwt-example”，它是一个示例应用，旨在帮助开发者了解如何将这些技术集成到自己的Java应用中。 **OAuth2** 是一个授权框架，它允许第三方应用在用户的许可下访问其私有资源，而...
springboot+oltu.oauth2搭建oauth2环境
10-08
springboot和apache的开源项目org.apache.oltu.oauth2组合搭建的oauth2环境，一般的oauth配置下就可以用了，但是我这个项目，是用原理上讲如何搭建oauth2，哪个controller转发到哪个controller，为什么这样，都有...
基于SpringBoot整合oauth2实现token认证
08-25
主要介绍了基于SpringBoot整合oauth2实现token 认证,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
Spring Boot 中的OAuth 2
xwnxwn的专栏
10-03 735
OAuth是一个开放标准，该标准允许用户让第三方应用访问该用户在某一网站上存储的私密资源(如头像、照片、视频等)，而在这个过程中无须将用户名和密码提供给第三方应用。实现这一功能是通过提供一个令牌(token) ，而不是用户名和密码来访问他们存放在特定服务提供者的数据。每一个令牌授权一个特定的网站在特定的时段内访问特定的资源。这样，OAuth 让用户可以授权第三方网站灵活地访问存储在另外一些资源服务器的特定信息，而非所有内容。例如，用户想通过QQ登录知乎，这时知乎就是-一个第三方应用，知乎要访问用户的一些基本
Spring Boot中的OAuth2认证与授权
聚娃科技开发者博客
06-27 553
OAuth2是一种开放标准，允许用户授权第三方应用访问他们在某一网站上存储的私密资源，而无需将用户名和密码提供给第三方应用。它被广泛应用于提供安全、标准化的授权机制。
例子8--spring-boot-starter-oauth2最新版--普通token的测试--（2）
chencaw的专栏
04-25 446
1、创建config包，后在下面添加3个配置类 （1） （2） 2、AuthorizationServerConfig的内容 package com.xachen.oauth2jwtcenter.config; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Bean; import org.springframewor
例子10--spring-boot-starter-oauth2最新版--JWT的测试--资源服务（2）
chencaw的专栏
04-26 1178
1、重新创建一个资源服务 2、pom.xml如下 <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://ma
教程：在Spring Boot应用中集成OAuth 2.0认证
省赚客开发者博客
06-27 2125
通过本教程，我们学习了如何在Spring Boot应用中集成和使用OAuth 2.0认证。从添加依赖、配置OAuth 2.0客户端信息，到配置Spring Security和创建控制器处理认证后的回调，这些步骤帮助开发者快速实现安全的认证机制，并保护应用程序的资源。
SpringBoot2 整合OAuth2组件，模拟第三方授权访问
【积累】，是一个长期持续的过程。
12-22 1862
验证第三方服务的身份，验证邮箱用户的身份，记录和管理认证Token，为资源服务器提供Token校验。场景第三方网站借助用户的邮箱登录，并访问邮箱账户的基础信息，头像、名称等。第三方服务通过邮箱账户登录后需要获取的一些信息，即理解为资源，存储邮箱账户的数据资源。即借助邮箱用户的账户，快速登录第三个服务，免去繁杂的注册流程，有助于快速积累新用户。第三方服务给用户开放快速邮箱登录功能，引导用户调到邮箱认证服务，通过认证后返回身份令牌到第三方服务，第三方服务携带令牌访问邮箱的资源服务，获取一些基本的邮箱用户信息。.
oauth2 java 获取token_基于SpringBoot整合oauth2实现token认证
weixin_42363231的博客
02-13 1483
这篇文章主要介绍了基于SpringBoot整合oauth2实现token 认证,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下session和token的区别：session是空间换时间，而token是时间换空间。session占用空间，但是可以管理过期时间，token管理部了过期时间，但是不占用空间.sessionId失效问题和token内包含。...
Java面试深度解析：项目实战与技术难点
这份Java面试题集旨在帮助面试者熟悉并掌握常见的面试知识点，涵盖了许多实际项目中可能会遇到的问题。以下是对部分题目及涉及知识点的详细解释： 1. **线程同步与死锁** - 讨论线程同步是为了防止多个线程并发...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值