sprignboot整合OAuth2

最新推荐文章于 2023-06-27 00:02:40 发布

迷雾总会解

最新推荐文章于 2023-06-27 00:02:40 发布

阅读量303

点赞数

分类专栏： java spring 文章标签： java spring oauth

本文链接：https://blog.csdn.net/qq_44766883/article/details/106652516

版权

java 同时被 2 个专栏收录

56 篇文章 1 订阅

订阅专栏

spring

29 篇文章 3 订阅

订阅专栏

概念说明

先说OAuth，OAuth是Open Authorization的简写。

OAuth协议为用户资源的授权提供了一个安全的、开放而又简易的标准。与以往的授权方式不同之处是

OAuth的授权不会使第三方触及到用户的帐号信息（如用户名与密码），即第三方无需使用用户的用户名与

密码就可以申请获得该用户资源的授权，因此OAuth是安全的。

OAuth2.0是OAuth协议的延续版本，但不向前兼容(即完全废止了OAuth1.0)。

使用场景

假设，A网站是一个打印照片的网站，B网站是一个存储照片的网站，二者原本毫无关联。

如果一个用户想使用A网站打印自己存储在B网站的照片，那么A网站就需要使用B网站的照片资源才行。

按照传统的思考模式，我们需要A网站具有登录B网站的用户名和密码才行，但是，现在有了OAuth2，只需要A网

站获取到使用B网站照片资源的一个通行令牌即可！这个令牌无需具备操作B网站所有资源的权限，也无需永久有效，只要满足A网站打印照片需求即可。

这么听来，是不是有点像单点登录？NONONO！千万不要混淆概念！单点登录是用户一次登录，自己可以操作其他关联的服务资源。OAuth2则是用户给一个系统授权，可以直接操作其他系统资源的一种方式。

但SpringSecurity的OAuth2也是可以实现单点登录的！

总结一句：SpringSecurity的OAuth2可以做服务之间资源共享，也可以实现单点登录！

OAuth2.0中四种授权方式

授权许可是表示客户用来获取访问令牌的资源所有者授权的凭证。此规范协议规定了4种授权类型：

authorization code（授权码模式）
implicit（简化模式）
resource owner password credentials（密码模式）
client credentials（客户端模式）

授权码模式（authorization code）

流程

用户访问客户端，客户端通过用户代理向认证服务器请求授权码；(授权码只能使用一次)
用户同意授权；
认证服务器通过用户代理返回授权码给客户端；
客户端携带授权码向认证服务器请求访问令牌（AccessToken）；
认证服务器返回访问令牌；
客户端携带访问令牌向资源服务器请求资源；
资源服务器返回资源。

使用场景

授权码模式是OAuth2中最安全最完善的一种模式，应用场景最广泛，可以实现服务之间的调用，常见的微

信，QQ等第三方登录也可采用这种方式实现。

简化模式（implicit）

流程

说明：简化模式中没有【A服务认证服务】这一部分，全部有【A服务客户端】与B服务交互，整个过程不再有

授权码，token直接暴露在浏览器。

用户访问客户端，客户端通过用户代理向认证服务器请求授权码；
用户同意授权；
认证服务器返回一个重定向地址，该地址的url的Hash部分包含了令牌；
用户代理向资源服务器发送请求，其中不带令牌信息；
资源服务器返回一个网页，其中包含的脚本可以获取Hash中的令牌；
用户代理执行脚本提取令牌；
用户代理将令牌返回给客户端；
客户端携带令牌向资源服务器请求资源；
资源服务器返回资源。

使用场景

适用于A服务没有服务器的情况。比如：纯手机小程序，JavaScript语言实现的网页插件等。

密码模式（resource owner password credentials）

流程

用户向客户端提供用户名密码；
客户端将用户名和密码发给认证服务器请求令牌；
认证服务器确认无误后，向客户端提供访问令牌；
客户端携带令牌向资源服务器请求访问资源；
资源服务器返回资源。

使用场景

此种模式虽然简单，但是用户将B服务的用户名和密码暴露给了A服务，需要两个服务信任度非常高才能使

用。

客户端模式（client credentials）

流程

说明：这种模式其实已经不太属于OAuth2的范畴了。A服务完全脱离用户，以自己的身份去向B服务索取

token。换言之，用户无需具备B服务的使用权也可以。完全是A服务与B服务内部的交互，与用户无关了。

客户端向认证服务器进行身份认证，并要求一个访问令牌；
认证服务器确认无误后，向客户端提供访问令牌；
客户端携带令牌向资源服务器请求访问资源；
资源服务器返回资源。

使用场景

A服务本身需要B服务资源，与用户无关。

建表

官网地址

官网

核心表：oauth_client_details

字段名	字段说明
client_id	主键,必须唯一,不能为空. 用于唯一标识每一个客户端(client); 在注册时必须填写(也可由服务端自动生成). 对于不同的grant_type,该字段都是必须的. 在实际应用中的另一个名称叫appKey,与client_id是同一个概念.
resource_ids	客户端所能访问的资源id集合,多个资源时用逗号(,)分隔,如: “unity-resource,mobile-resource”. 该字段的值必须来源于与`security.xml`中标签`‹oauth2:resource-server`的属性`resource-id`值一致. 在`security.xml`配置有几个`‹oauth2:resource-server`标签, 则该字段可以使用几个该值. 在实际应用中, 我们一般将资源进行分类,并分别配置对应的`‹oauth2:resource-server`,如订单资源配置一个`‹oauth2:resource-server`, 用户资源又配置一个`‹oauth2:resource-server`. 当注册客户端时,根据实际需要可选择资源id,也可根据不同的注册流程,赋予对应的资源id.
client_secret	appKey,与client_id是同一个概念. 用于指定客户端(client)的访问密匙; 在注册时必须填写(也可由服务端自动生成). 对于不同的grant_type,该字段都是必须的. 在实际应用中的另一个名称叫appSecret,与client_secret是同一个概念.
scope	指定客户端申请的权限范围,可选值包括read,write,trust;若有多个权限范围用逗号(,)分隔,如: “read,write”. scope的值与`security.xml`中配置的`‹intercept-url`的`access`属性有关系. 如`‹intercept-url`的配置为 `‹intercept-url pattern="/m/*" access="ROLE_MOBILE,SCOPE_READ"/>` 则说明访问该URL时的客户端必须有read权限范围. write的配置值为SCOPE_WRITE, trust的配置值为SCOPE_TRUST. 在实际应该中, 该值一般由服务端指定, 常用的值为read,write*.
authorized_grant_types	指定客户端支持的grant_type,可选值包括authorization_code,password,refresh_token,implicit,client_credentials, 若支持多个grant_type用逗号(,)分隔,如: “authorization_code,password”. 在实际应用中,当注册时,该字段是一般由服务器端指定的,而不是由申请者去选择的,最常用的grant_type组合有: “authorization_code,refresh_token”(针对通过浏览器访问的客户端); “password,refresh_token”(针对移动设备的客户端). implicit与client_credentials在实际中很少使用.
web_server_redirect_uri	客户端的重定向URI,可为空, 当grant_type为`authorization_code`或`implicit`时, 在Oauth的流程中会使用并检查与注册时填写的redirect_uri是否一致. 下面分别说明: 当grant_type=`authorization_code`时, 第一步 `从 spring-oauth-server获取 "code"`时客户端发起请求时必须有`redirect_uri`参数, 该参数的值必须与 `web_server_redirect_uri`的值一致. 第二步 `用 "code" 换取 "access_token"` 时客户也必须传递相同的`redirect_uri`. 在实际应用中, web_server_redirect_uri在注册时是必须填写的, 一般用来处理服务器返回的`code`, 验证`state`是否合法与通过`code`去换取`access_token`值. 在spring-oauth-client项目中, 可具体参考`AuthorizationCodeController.java`中的`authorizationCodeCallback`方法. 当grant_type=`implicit`时通过`redirect_uri`的hash值来传递`access_token`值.如: `http://localhost:7777/spring-oauth-client/implicit#access_token=dc891f4a-ac88-4ba6-8224-a2497e013865&token_type=bearer&expires_in=43199` 然后客户端通过JS等从hash值中取到`access_token`值.
authorities	指定客户端所拥有的Spring Security的权限值,可选, 若有多个权限值,用逗号(,)分隔, 如: “ROLE_UNITY,ROLE_USER”. 对于是否要设置该字段的值,要根据不同的grant_type来判断, 若客户端在Oauth流程中需要用户的用户名(username)与密码(password)的(`authorization_code`,`password`), 则该字段可以不需要设置值,因为服务端将根据用户在服务端所拥有的权限来判断是否有权限访问对应的API. 但如果客户端在Oauth流程中不需要用户信息的(`implicit`,`client_credentials`), 则该字段必须要设置对应的权限值, 因为服务端将根据该字段值的权限来判断是否有权限访问对应的API. (请在spring-oauth-client项目中来测试不同grant_type时authorities的变化)
access_token_validity	设定客户端的access_token的有效时间值(单位:秒),可选, 若不设定值则使用默认的有效时间值(60 * 60 * 12, 12小时). 在服务端获取的access_token JSON数据中的`expires_in`字段的值即为当前access_token的有效时间值. 在项目中, 可具体参考`DefaultTokenServices.java`中属性`accessTokenValiditySeconds`. 在实际应用中, 该值一般是由服务端处理的, 不需要客户端自定义.
refresh_token_validity	设定客户端的refresh_token的有效时间值(单位:秒),可选, 若不设定值则使用默认的有效时间值(60 * 60 * 24 * 30, 30天). 若客户端的grant_type不包括`refresh_token`,则不用关心该字段在项目中, 可具体参考`DefaultTokenServices.java`中属性`refreshTokenValiditySeconds`. 在实际应用中, 该值一般是由服务端处理的, 不需要客户端自定义.
additional_information	这是一个预留的字段,在Oauth的流程中没有实际的使用,可选,但若设置值,必须是JSON格式的数据,如: `{"country":"CN","country_code":"086"}` 按照`spring-security-oauth`项目中对该字段的描述 Additional information for this client, not need by the vanilla OAuth protocol but might be useful, for example,for storing descriptive information. (详见`ClientDetails.java`的`getAdditionalInformation()`方法的注释)在实际应用中, 可以用该字段来存储关于客户端的一些其他信息,如客户端的国家,地区,注册时的IP地址等等.
create_time	数据的创建时间,精确到秒,由数据库在插入数据时取当前系统时间自动生成(扩展字段)
archived	用于标识客户端是否已存档(即实现逻辑删除),默认值为"0"(即未存档). 对该字段的具体使用请参考`CustomJdbcClientDetailsService.java`,在该类中,扩展了在查询client_details的SQL加上archived = 0条件 (扩展字段)
trusted	设置客户端是否为受信任的,默认为"0"(即不受信任的,1为受信任的). 该字段只适用于grant_type="authorization_code"的情况,当用户登录成功后,若该值为0,则会跳转到让用户Approve的页面让用户同意授权, 若该字段为1,则在登录后不需要再让用户Approve同意授权(因为是受信任的). 对该字段的具体使用请参考`OauthUserApprovalHandler.java`. (扩展字段)
autoapprove	设置用户是否自动Approval操作, 默认值为 “false”, 可选值包括 “true”,“false”, “read”,“write”. 该字段只适用于grant_type="authorization_code"的情况,当用户登录成功后,若该值为"true"或支持的scope值,则会跳过用户Approve的页面, 直接授权. 该字段与 trusted 有类似的功能, 是 spring-security-oauth2 的 2.0 版本后添加的新属性.

导包

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-oauth2</artifactId>
</dependency>

授权中心的安全配置

配置文件

server:
  port: 8082
spring:
  datasource:
    username: root
    password: root
    url: jdbc:mysql://localhost:3306/spring_security?characterEncoding=UTF-8&serverTimezone=UTC
    driver-class-name: com.mysql.jdbc.Driver
  main:
    allow-bean-definition-overriding: true



mybatis:
  type-aliases-package: top.codekiller.security.pojo
  configuration:
    map-underscore-to-camel-case: true
logging:
  level:
    top.codekiller.security: debug

实体类

@Data
public class SysUser implements UserDetails {
    private Integer id;
    private String username;
    private String password;
    private Integer status;
    private List<SysRole> roles;


    @JsonIgnore
    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return roles;
    }

    @JsonIgnore
    @Override
    public boolean isAccountNonExpired() {
        return true;
    }

    @JsonIgnore
    @Override
    public boolean isAccountNonLocked() {
        return true;
    }

    @JsonIgnore
    @Override
    public boolean isCredentialsNonExpired() {
        return true;
    }

    @JsonIgnore
    @Override
    public boolean isEnabled() {
        return true;
    }
}

@Data
public class SysRole implements GrantedAuthority {
    private Integer id;
    private String roleName;
    private String roleDesc;


    @JsonIgnore
    @Override
    public String getAuthority() {
        return this.roleName;
    }
}

service

public interface IUserService extends UserDetailsService {
}

@Service
@Transactional(rollbackFor = Exception.class)
public class UserServiceImpl implements IUserService {

    @Autowired
    private UserMapper userMapper;

    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        return this.userMapper.findByName(s);
    }
}

mapper

public interface UserMapper  {

    @Select("select * from sys_user where username=#{name}")
    @Results({
        @Result(id=true,property = "id",column = "id"),
        @Result(property = "roles",column = "id",javaType = List.class,
                many = @Many(select = "top.codekiller.security.mapper.RoleMapper.findByUid"))
    })
    SysUser findByName(String name);

}

public interface RoleMapper {

    @Select("select r.id,r.role_name,r.role_desc from sys_role r,sys_user_role ur where r.id=ur.rid and ur.uid=#{uid} ")
    List<SysRole> findByUid(Integer uid);
}

security配置类

package top.codekiller.security.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import top.codekiller.security.service.IUserService;

/**
 * @author codekiller
 * @date 2020/6/9 18:06
 * @description 授权中心security配置类
 */
@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private IUserService userService;

    @Bean
    public BCryptPasswordEncoder bCryptPasswordEncoder(){
        return new BCryptPasswordEncoder();
    }

    /**
     * 验证用户的来源[内存，数据库]
     * @param auth
     * @throws Exception
     */
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userService).passwordEncoder(bCryptPasswordEncoder());
    }

    /**
     * 配置springSecurity相关信息
     * @param http
     * @throws Exception
     */
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .formLogin()
            .loginProcessingUrl("/login")
            .permitAll()
            .and()
            .csrf()
            .disable();
    }


    /**
     * AuthenticationManager对象在OAuth2认证服务中使用，放入到IOC容器中
     * @return
     * @throws Exception
     */
    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }
}

oauth配置类

package top.codekiller.security.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerSecurityConfigurer;
import org.springframework.security.oauth2.provider.approval.ApprovalStore;
import org.springframework.security.oauth2.provider.approval.JdbcApprovalStore;
import org.springframework.security.oauth2.provider.client.JdbcClientDetailsService;
import org.springframework.security.oauth2.provider.code.AuthorizationCodeServices;
import org.springframework.security.oauth2.provider.code.JdbcAuthorizationCodeServices;
import org.springframework.security.oauth2.provider.token.TokenStore;
import org.springframework.security.oauth2.provider.token.store.JdbcTokenStore;
import top.codekiller.security.service.IUserService;

import javax.sql.DataSource;

/**
 * @author codekiller
 * @date 2020/6/9 18:27
 * @description 授权中心oauth配置类
 */
@Configuration
@EnableAuthorizationServer
public class OAuthServerConfig extends AuthorizationServerConfigurerAdapter {



    /**
     * 数据库连接池对象
     */
    @Autowired
    private DataSource dataSource;


    /**
     * 认证业务对象
     */
    @Autowired
    private IUserService userService;

    /**
     *授权模式专用对象
     */
    @Autowired
    private AuthenticationManager authenticationManager;

    /**
     * 客户端信息来源
     * @return
     */
    @Bean
    public JdbcClientDetailsService jdbcClientDetailsService(){
        return new JdbcClientDetailsService(dataSource);
    }


    /**
     * token保存策略
     * @return
     */
    @Bean
    public TokenStore tokenStore(){
        return new JdbcTokenStore(dataSource);
    }

    /**
     * 授权信息保存策略
     * @return
     */
    @Bean
    public ApprovalStore approvalStore(){
        return new JdbcApprovalStore(dataSource);
    }

    /**
     * 授权码模式专用收据来源
     * @return
     */
    @Bean
    public AuthorizationCodeServices authorizationCodeServices(){
        return new JdbcAuthorizationCodeServices(dataSource);
    }






    /**
     * 指定客户端信息的数据库来源
     * @param clients
     * @throws Exception
     */
    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.withClientDetails(jdbcClientDetailsService());
    }

    /**
     * 检测token的策略
     * @param security
     * @throws Exception
     */
    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security.allowFormAuthenticationForClients();
        security.checkTokenAccess("isAuthenticated()");
    }

    /**
     * OAuth2的主配置信息
     * @param endpoints
     * @throws Exception
     */
    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authenticationManager)
            .approvalStore(approvalStore())
            .authorizationCodeServices(authorizationCodeServices())
            .tokenStore(tokenStore())
            .userDetailsService(userService);

    }
}

资源服务的安全配置

配置文件

server:
  port: 8081
spring:
  datasource:
    username: root
    password: root
    url: jdbc:mysql://localhost:3306/spring_security?characterEncoding=UTF-8&serverTimezone=UTC
    driver-class-name: com.mysql.jdbc.Driver
  main:
    allow-bean-definition-overriding: true

logging:
  level:
    top.codekiller.security: debug

配置类

tokenstore的常用策略

package top.codekiller.security.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpMethod;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;
import org.springframework.security.oauth2.provider.token.TokenStore;
import org.springframework.security.oauth2.provider.token.store.JdbcTokenStore;

import javax.sql.DataSource;

/**
 * @author codekiller
 * @date 2020/6/9 17:19
 * @description 资源服务的安全配置
 */
@Configuration
@EnableResourceServer
public class OAuthConfig extends ResourceServerConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    /**
     * 指定token的持久化策略(TokenStore有五种策略这里使用jdbc策略)
     * @return
     */
    public TokenStore jdbcTokenStore(){
        return new JdbcTokenStore(dataSource);
    }

    /**
     * 指定当前资源的id和存储方案
     * @param resources
     * @throws Exception
     */
    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.resourceId("product_api").tokenStore(jdbcTokenStore());
    }


    /**
     *相关请求http配置
     * @param http
     * @throws Exception
     */
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            //指定不同请求方式访问资源所需要的权限，一般查询是read，其余是write。
            .antMatchers(HttpMethod.GET, "/**")
            .access("#oauth2.hasScope('read')")
            .antMatchers(HttpMethod.POST, "/**").access("#oauth2.hasScope('write')")
            .antMatchers(HttpMethod.PATCH, "/**").access("#oauth2.hasScope('write')")
            .antMatchers(HttpMethod.PUT, "/**").access("#oauth2.hasScope('write')")
            .antMatchers(HttpMethod.DELETE, "/**").access("#oauth2.hasScope('write')")
            .and()
            .headers().addHeaderWriter((request, response) -> {
            response.addHeader("Access-Control-Allow-Origin", "*");//允许跨域
            if (request.getMethod().equals("OPTIONS")) {//如果是跨域的预检请求，则原封不动向下传达请 求头信息
                response.setHeader("Access-Control-Allow-Methods", request.getHeader("Access- Control-Request-Method"));
                response.setHeader("Access-Control-Allow-Headers", request.getHeader("Access- Control-Request-Headers"));
            }
        });
    }

}

测试接口

@RestController
@RequestMapping("/product")
public class ProductController {

    @Secured("ROLE_ADMIN")
    @GetMapping("/findAll")
    public String findAll(){
        return "参评列表查询成功";
    }
}

授权码模式测试

访问http://localhost:8082/oauth/authorize?response_type=code&client_id=test_one

跳转到登录处理界面

因为我们在配置中配置了login地址

填写账号密码成功后选择权限

获取授权码

跳转地址是在数据库记录的地址

获取token

grant_type是授权码模式,共五种选项
- client_credentials 客户端模式
- implicit 简单模式
- authorization_code 授权码模式
- refresh_token 刷新token
- password 密码模式

携带token进行访问资源

注意：授权码只能使用一次

简单模式

不建议使用，token直接出现在地址栏，不安全！

访问 http://localhost:8082/oauth/authorize?response_type=token&client_id=test_one

可以看到，我们获取的token是一样的，因为当前用户的token没有过期

密码模式

使用该token进行访问

可以看到，我们获取的token是一样的，因为当前用户的token没有过期

客户端模式

此时不存在刷新token

刷新token

客户端模式没有刷新token

我这里报了一个错误

Handling error: IllegalStateException, UserDetailsService is required.

解决方法:

https://blog.csdn.net/qq_44766883/article/details/106651024

迷雾总会解

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
sprignboot整合OAuth2

概念说明先说OAuth，OAuth是Open Authorization的简写。OAuth协议为用户资源的授权提供了一个安全的、开放而又简易的标准。与以往的授权方式不同之处是OAuth的授权不会使第三方触及到用户的帐号信息（如用户名与密码），即第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权，因此OAuth是安全的。OAuth2.0是OAuth协议的延续版本，但不向前兼容(即完全废止了OAuth1.0)。使用场景假设，A网站是一个打印照片的网站，B网站是一个存储照片的网站，二者原
复制链接

扫一扫

专栏目录