配置OAuth2认证服务器和资源服务器，实现基于令牌的身份验证和授权

配置OAuth2认证服务器和资源服务器，实现基于令牌的身份验证和授权

配置OAuth2认证服务器和资源服务器是实现基于令牌的身份验证和授权的关键步骤。OAuth2认证服务器负责颁发访问令牌（Access Token）和刷新令牌（Refresh Token），而资源服务器则负责验证令牌并控制对受保护资源的访问。以下是一个简单的示例，演示如何在Spring Boot应用程序中配置OAuth2认证服务器和资源服务器：

添加Spring Security OAuth2依赖：

首先，您需要添加Spring Security OAuth2依赖到您的Spring Boot项目中。

Maven依赖：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-oauth2</artifactId>
</dependency>

Gradle依赖：

implementation 'org.springframework.security:spring-security-oauth2'

配置OAuth2认证服务器：

创建一个AuthorizationServerConfigurerAdapter的子类，并覆盖configure(ClientDetailsServiceConfigurer clients)和configure(AuthorizationServerEndpointsConfigurer endpoints)方法以配置OAuth2认证服务器。

import org.springframework.context.annotation.Configuration;
import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;

@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("client")
                .secret("secret")
                .authorizedGrantTypes("authorization_code", "refresh_token")
                .scopes("read", "write")
                .redirectUris("http://localhost:8080/login/oauth2/code/custom");
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        // 配置认证管理器、用户信息服务、令牌存储等
    }
}

配置资源服务器：

创建一个ResourceServerConfigurerAdapter的子类，并覆盖configure(HttpSecurity http)方法以配置资源服务器

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;

@Configuration
@EnableResourceServer
public class OAuth2ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/api/**").authenticated()
                .anyRequest().permitAll();
    }
}

配置Spring Security：

创建一个WebSecurityConfigurerAdapter的子类，并覆盖configure(HttpSecurity http)方法以配置Spring Security，确保Spring Security不会拦截OAuth2的认证请求。

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/oauth/**").permitAll()
                .anyRequest().authenticated()
            .and()
            .csrf().disable();
    }
}

通过以上步骤，您就可以在Spring Boot应用程序中配置OAuth2认证服务器和资源服务器，实现基于令牌的身份验证和授权。请根据实际情况调整配置，例如配置认证管理器、用户信息服务、令牌存储等，以满足您的具体需求。