【Spring Security OAuth2】客户端授权模式(client credentials)~校验访问令牌

最新推荐文章于 2024-02-23 16:33:31 发布
最新推荐文章于 2024-02-23 16:33:31 发布
阅读量5.3k 收藏 6
点赞数
分类专栏： spring boot
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/quan20111992/article/details/100623517
版权

前文 【Spring Security OAuth2】客户端授权模式(client credentials)~资源服务配置 我们设定 授权服务 和 资源服务 是两个单独的应用，在 资源服务 中使用RemoteTokenServices对Token进行校验。
在这里插入图片描述
从图中可以看出，ResourceServerTokenServices接口有两个实现类(DefaultTokenServices、RemoteTokenServices)，而DefaultTokenServices类同时实现了AuthorizationServerTokenServices、ResourceServerTokenServices接口。
当 授权服务 和 资源服务 是两个单独的应用时，资源服务端使用RemoteTokenServices校验Token，而授权服务端使用DefaultTokenServices校验Token
当 授权服务 和 资源服务 是同一个应用时，使用DefaultTokenServices校验Token
在这里插入图片描述
ResourceServerTokenServices接口定义了两个方法，一个是根据指定的Token获取认证信息，另一个是根据指定的Token获取完整的Token详情。

在请求头中设置Authorization参数
将客户端ID和客户端密钥以 : 间隔进行拼接，然后将拼接后的字符串使用 BASE64 编码与Basic拼接，便可生成 Authorization 参数的值
在这里插入图片描述
设置完参数后像授权服务发送Token校验请求

通过AccessTokenConverter接口的extractAuthentication方法从请求结果中提取认证信息
在这里插入图片描述
AccessTokenConverter接口有多个实现类，由于我们在配置资源服务时并未指定AccessTokenConverter接口的实现类，故系统使用默认的实现类DefaultAccessTokenConverter
在这里插入图片描述
如果资源服务设置了resourceId且客户端详情中也设置了可访问的资源ID，则校验客户端详情中设置的可访问资源ID集合中是否包含当前资源ID
在这里插入图片描述

若资源服务端设置了clientDetailsService则校验认证信息中可访问的范围是否包含客户端可访问范围

在 【Spring Security OAuth2】客户端授权模式(client credentials)~资源服务配置 一文中，我们曾在application.properties文件中设置两个属性

security.oauth2.client.clientid=app
security.oauth2.client.clientSecret=app

这两个值与 我们获取Token时设置的值无关
在这里插入图片描述
调整application.properties文件中这两个属性为

security.oauth2.client.clientid=secret
security.oauth2.client.clientSecret=secret

当我们使用app获取访问令牌并访问资源resourceA时，可以正常访问
当我们使用secret获取访问令牌并访问资源resourceA时，无法访问
在这里插入图片描述

但属性文件中设置的那两个属性，必须在oauth_client_details表中存在

不务正业的野猴子
关注
  • 0
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Spring Security OAuth2认证授权示例详解
08-25
主要介绍了Spring Security OAuth2认证授权示例详解，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
OAuth2.0授权 - 客户端模式(Client Credentials) + 动态client_id
xgw的专栏
08-28 1万+
OAuth 2.0定义了四种授权方式： 授权码模式（authorization code）：功能最完整、流程最严密的授权模式。特点是通过第三方应用的后台服务器，与服务提供平台的认证服务器进行互动获取资源。 简化模式（implicit）：不通过第三方应用服务器，直接在浏览器中向认证服务器申请token令牌，跳过了授权码这个步骤。所有步骤在浏览器中完成，token对用户可见，且第三方应用不需要认证。 密码模式（resource owner password credentials）：用户向第三方应用提供自己的
IdentityServer4(二)：使用Client Credentials模式控制API的访问
江浙沪柯蓝
12-30 3758
IdentityServer4(1):客户端凭证
Spring Security Oauth2 自定义授权方式
最新发布
qq_38841868的博客
02-23 1189
Oauth2的默认授权模式有四种： 授权码模式-authorization_code 密码模式-password 客户端模式-client_credentials 隐式授权模式-implicit token的运行流程： 在发起 URL+/oauth/token 获取token的请求后，实际上是请求 TokenEndpoint 类的postAccessToken或者getAccessToken方法，就相当于一个普通的concoller请求方法，根据请求类型是get或者post，其实get请求内部也是调
spring security oauth2 client_credentials模式
weixin_33816300的博客
12-02 380
序 本文主要简单介绍一下spring security oauth2的client_credentials模式 maven <dependency> <groupId>org.springframework.security.oauth</groupId> ...
理解OAuth 2.0
05-13 1862
理解OAuth 2.0 作者： 阮一峰 日期： 2014年5月12日 OAuth是一个关于授权（authorization）的开放网络标准，在全世界得到广泛应用，目前的版本是2.0版。 本文对OAuth 2.0的设计思路和运行流程，做一个简明通俗的解释，主要参考材料为RFC 6749。 一、应用场景 为了理解OAu
client_credentials
05-18
客户证书授予SpringMVC测试 故事：作为一个未经身份验证的用户，我想通过一个经过身份验证的REST API服务检索统计计算。 安装 该项目需要JDK 8和maven来构建和测试它。 使用以下命令在linux上安装Java： sudo apt-get install openjdk-8-jdk 安装Maven sudo apt-get install maven ##获取源代码 从Unix终端： git clone https://github.com/antoniosignore/client_credentials.git 建立战争 mvn clean package 生成的test.war文件位于下： /target/test.war 设计 该测试需要实现Oauth规范中定义的客户端证书授予 这是所有OAuth 2.0授予中最简单的授予，适用于不需
OAuth2授权(Client Credentials)
热门推荐
shonegg的技术人生
08-15 3万+
OAuth 2.0定义了四种授权方式。 1.授权码模式（authorization code） 2.简化模式（implicit） 3.密码模式（resource owner password credentials） 4.客户端模式（client credentials） ClientCredentials客户端模式: Client使用自己的 client证书(如 clien
【Spring Security OAuth2】客户端授权模式(client credentials)~授权服务配置
不务正业的野猴子
08-25 8476
基于Spring Boot 2.1.7.RELEASE 参考资源: OAuth 2 Developers Guide 授权服务配置 添加一个实现了AuthorizationServerConfigurer接口的实现类且使用@EnableAuthorizationServer注解进行标注 AuthorizationServerConfigurer接口的实现类是AuthorizationSer...
《SpringSecurityOauth2》四种模式 之 4 . 客户端模式-client_credential, 资源服务器
kaige8312的博客
03-27 5850
1. 用客户端证书交换访问令牌 应用程序需要向认证服务器申请访问令牌，而该请求则需要客户端证书进行认证。 假设现在我们正在折腾环信IM，其认证URL为： https://a1.easemob.com/pair/pair/token 这里需要使用POST请求并附带以下参数： grant_type 这里为“client_credentials” client_id 应用注册时...
(二)OAuth 2.0 客户端模式（ClientCredentials）
大佬味的小男孩的博客https://www.yuque.com/dalaoweidexiaonanhai
05-13 1733
无
Spring Security OAuth2 授权码模式的实现
08-18
主要介绍了Spring Security OAuth2 授权码模式的实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
springsecurity+oauth2+jwt实现单点登录demo
06-06
该资源是springsecurity+oauth2+jwt实现的单点登录demo，模式为授权码模式，实现自定义登录页面和自定义授权页面。应用数据存在内存中或者存在数据库中（附带数据库表结构），token存储分为数据库或者Redis。demo...
Spring Security Oauth2.0认证授权专题
06-19
Spring boot+Spring Security Oauth2.0，Sprint cloud+Spring Security Oauth2集成。四种认证方式。附带有代码，和案例，案例，还有视频链接。我保证看完就回，如果视频链接失效，评论回复我，我单独再给你一份。
Spring Security如何优雅的增加OAuth2协议授权模式
09-07
主要介绍了Spring Security如何优雅的增加OAuth2协议授权模式，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
微信开发获取access_token(凭证)接口的详解
qrn196789910的博客
11-20 3263
在微信开发中，就有一些接口会涉及到获取接口凭证的接口，开发文档:https://mp.weixin.qq.com/wiki?t=resource/res_main&id=mp1421140183 比如我们在微信公众号创建菜单中就会有获取接口凭证要去，还有就是微信小程序在做消息推送功能时也会有调用access_token获取微信接口凭证的要求 获取access_token：https://a...
grant_type为client_credentials和password二者的区别
SAP 资深技术专家 Jerry Wang 的技术分享
11-04 5440
最近工作中需要使用到oauth，注意到oauth客户端的grant_type值可以指定为client_credentials和password两种，很好奇所以网上搜索了一下，发现stackoverflow上一个帖子： https://stackoverflow.com/questions/34842895/difference-between-grant-type-client-credentia...
【Spring Security OAuth2】客户端授权模式(client credentials)~资源服务配置
不务正业的野猴子
08-27 2339
例子基于Spring Boot 2.1.7.RELEASE ，使用mysql数据库 本例中资源服务为独立的应用 参考资源: Resource Server Configuration 添加一个实现了ResourceServerConfigurer接口的实现类且使用@EnableResourceServer注解进行标注 ResourceServerConfigurer接口有一个实现类Reso...
【Spring Security OAuth2】客户端授权模式(client credentials)~获取访问令牌
不务正业的野猴子
09-02 6676
访问路径:http://localhost:8081/oauth/token?grant_type=client_credentials&client_id=app&client_secret=app 如果我们在请求中添加了scope参数则会对该参数进行校验，没设置并不会报错 112行，验证请求中是否设置了grant_type参数，若没有设置则抛出异常 随后判断是否为隐式授权、是...
springsecurity oauth2.0 客户端动态跳过认证
05-31
您好，关于在 Spring Security OAuth2.0 客户端动态跳过认证，可以使用自定义过滤器来实现，具体实现如下： 1.自定义过滤器： ```java public class SkipTokenFilter extends OncePerRequestFilter { private AntPathMatcher antPathMatcher = new AntPathMatcher(); @Autowired private OAuth2AuthorizedClientService authorizedClientService; @Autowired private OAuth2AuthorizedClientRepository authorizedClientRepository; @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { String requestURI = request.getRequestURI(); String clientRegistrationId = "your-client-registration-id"; // 客户端注册ID if (!antPathMatcher.match("/oauth2/**", requestURI) && !antPathMatcher.match("/error", requestURI)) { OAuth2AuthorizedClient authorizedClient = authorizedClientService.loadAuthorizedClient(clientRegistrationId, getAuthentication(request), request); if (authorizedClient == null) { // 跳过认证 HttpSession session = request.getSession(false); if (session != null) { session.setAttribute(OAuth2AuthorizationContext.class.getName(), new OAuth2AuthorizationContext(null, null, clientRegistrationId)); } filterChain.doFilter(request, response); return; } request.setAttribute(OAuth2AuthorizationContext.class.getName(), new OAuth2AuthorizationContext(authorizedClient.getAccessToken(), null, clientRegistrationId)); } filterChain.doFilter(request, response); } private Authentication getAuthentication(HttpServletRequest request) { Authentication authentication = SecurityContextHolder.getContext().getAuthentication(); if (authentication == null) { String authorization = request.getHeader(HttpHeaders.AUTHORIZATION); if (StringUtils.isNotEmpty(authorization)) { int index = authorization.indexOf(' '); if (index > 0) { String type = authorization.substring(0, index); if ("Bearer".equalsIgnoreCase(type)) { String token = authorization.substring(index + 1); authentication = new BearerTokenAuthentication(new BearerTokenAuthenticationToken(token)); } } } } return authentication; } } ``` 2.在 Spring Security 配置中添加自定义过滤器： ```java @Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { // ... http.addFilterBefore(new SkipTokenFilter(), OAuth2AuthorizationRequestRedirectFilter.class); } } ``` 以上就是通过自定义过滤器在 Spring Security OAuth2.0 客户端动态跳过认证的实现方法，希望能对您有所帮助。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值