通过springboot框架，自己动手实现oauth2.0授权码模式认证

前言

     随着几大社交平台霸主地位的确立，各个小型网站越来越倾向于通过平台认证来简化申请和登录帐号的流程，以增加用户量。这种授权认证方式一般和oauth2.0协议脱不了关系。因为我是在接入qq登录时第一次看到这个标准，所以参考qq登录的官方模版来实现这一过程。（我之前已经写过一篇接入qq登录的博客：网站实现qq登录(springboot后台)）

什么是oauth2.0

阅读理解OAuth 2.0以及OAuth 2.0 的四种方式

注意oauth2.0有四种模式，而我只想实现其中的授权码模式，我从上面的两篇博客中抄袭出我需要的信息：

授权码模式认证：

授权码（authorization code）方式，指的是第三方应用先申请一个授权码，然后再用该码获取令牌。

这种方式是最常用的流程，安全性也最高，它适用于那些有后端的 Web 应用。授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。

第一步，A 网站提供一个链接，用户点击后就会跳转到 B 网站，授权用户数据给 A 网站使用。下面就是 A 网站跳转 B 网站的一个示意链接。

https://b.com/oauth/authorize?
  response_type=code&
  client_id=CLIENT_ID&
  redirect_uri=CALLBACK_URL&
  scope=read

上面 URL 中，response_type参数表示要求返回授权码（code），client_id参数让 B 知道是谁在请求，redirect_uri参数是 B 接受或拒绝请求后的跳转网址，scope参数表示要求的授权范围（这里是只读）。

第二步，用户跳转后，B 网站会要求用户登录，然后询问是否同意给予 A 网站授权。用户表示同意，这时 B 网站就会跳回redirect_uri参数指定的网址。跳转时，会传回一个授权码，就像下面这样。

https://a.com/callback?code=AUTHORIZATION_CODE

上面 URL 中，code参数就是授权码。

第三步，A 网站拿到授权码以后，就可以在后端，向 B 网站请求令牌。

https://b.com/oauth/token?
 client_id=CLIENT_ID&
 client_secret=CLIENT_SECRET&
 grant_type=authorization_code&
 code=AUTHORIZATION_CODE&
 redirect_uri=CALLBACK_URL

上面 URL 中，client_id参数和client_secret参数用来让 B 确认 A 的身份（client_secret参数是保密的，因此只能在后端发请求），grant_type参数的值是AUTHORIZATION_CODE，表示采用的授权方式是授权码，code参数是上一步拿到的授权码，redirect_uri参数是令牌颁发后的回调网址。

第四步，B 网站收到请求以后，就会颁发令牌。具体做法是向redirect_uri指定的网址，发送一段 JSON 数据。

{    
  "access_token":"ACCESS_TOKEN",
  "token_type":"bearer",
  "expires_in":2592000,
  "refresh_token":"REFRESH_TOKEN",
  "scope":"read",
  "uid":100101,
  "info":{...}
}

上面 JSON 数据中，access_token字段就是令牌，A 网站在后端拿到了。

开始自己实现

实现流程与代码：借鉴自：qq互联开发文档

首先新建两个模块。参考：SpringBoot多模块开发。推荐阅读：SpringBoot 多模块的优点与必要性

正如上面两个网站一样，我建立了两个模块，一个client服务器端口为8080，一个认证和资源服务器（我把认证服务器和资源服务器放到同一个服务器中了）将此服务器的端口设置为8888。（ip相同，端口不同，也算域名不同，也会有跨域问题）

其中授权服务器发放code（授权码）和access_token时，我是通过jwt来颁发的。参考我之前写的博客：认识和使用JWT

因为此部分代码和我的其他代码嵌合，所以暂时先不放到github中了。

参考流程图：

（图片修改自：OAuth2.0协议草案V21的4.1节 ）

127.0.0.1:8080为客户端服务器