spring-security-oauth2 中优雅的扩展自定义(短信验证码)登录方式【Part-0】

下一篇: spring-security-oauth2 中优雅的扩展自定义(短信验证码)登录方式【Part-End】

之前搜了一下,都是使用 Filter 方式去实现,感觉这样破坏了 spring-security-oauth2 中的原有机制.啃了半天源码,发现一种稍微优雅一些的方式.

本篇重点讨论如何实现自定义的登录方式,所以如何配制 spring-security-oauth2 就不说了.

一些说明

• 之前已经配好使用 spring-security-oauth2 + JWT 的认证方式,这次仅是改造
• 本篇部分涉及的代码都是认证服务器的代码

跟踪spring的登录逻辑发现,帐号密码的验证是在 tokenGranter 中完成的, 帐号密码对应的是 org.springframework.security.oauth2.provider.password.ResourceOwnerPasswordTokenGranter;
而spring找到对应的 tokenGranter 是通过登录时的一个表单参数"grant_type" 来找到的,这样的话,那我是不是可以通过扩展一个 TokenGranter 来达成我要的效果呢?

spring 默认是同时支持多重 grant_type 的(根据客户端的配制决定特定客户端支持特定的 grant_type), 而AuthorizationServerConfigurerAdapter 的配制中 tokenGranter 又只能设置一个,那么spirng是怎么实现多个的呢?经过折腾我发现了一个 org.springframework.security.oauth2.provider.CompositeTokenGranter , 原来是通过它来实现的. 那么又有思路了.

接下来研究如何向 CompositeTokenGranter 中增加我自定义的 TokenGranter , 结果发现spring在创建 CompositeTokenGranter 的时候已经把内置的 TokenGranter 写死了,没法通过它的机制扩展.唯一的方法就是我直接使用 CompositeTokenGranter . 那么我还是想要内置的 TokenGranter 也一起工作怎么办...?最后我无奈的选侧了把创建内置 TokenGranter 的代码copy了出来并修改了能用...不说了,直接上代码,有些需要注意的地方我会通过注释来描述.

由于是已有项目的改造,所以怎么配制 spring-security-oauth2 + JWT ,怎么配制认证服务器和资源服务器,甚至oauth2 是什么?我就不多说了,网上一搜一大把.如果有同学实在需要的话,我再另开一篇来写吧

import java.util.ArrayList;
import java.util.Arrays;
import java.util.HashMap;
import java.util.List;
import java.util.Map;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.context.annotation.Primary;
import org.springframework.core.io.ClassPathResource;
import org.springframework.http.HttpMethod;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.security.core.userdetails.UserDetailsService;
impor