资源服务授权代码案例

1. 资源服务授权流程

资源服务拥有要访问的受保护资源，客户端携带令牌访问资源服务，如果令牌合法则可成功访问资源服务中的资源，如下图 ：
上图的业务流程如下：

1. 客户端请求认证服务申请令牌
2. 认证服务生成令牌
   认证服务采用非对称加密算法，使用私钥生成令牌。
3. 客户端携带令牌访问资源服务
   客户端在Http header 中添加： Authorization：Bearer 令牌。
4. 资源服务请求认证服务校验令牌的有效性
   资源服务接收到令牌，使用公钥校验令牌的合法性。
5. 令牌有效，资源服务向客户端响应资源信息

2. 资源服务授权配置

基本上所有微服务都是资源服务，这里我们可以在其中的一个业务模块上配置授权控制，当配置了授权控制后如要访问改模块则必须提供令牌。

1. 配置公钥
   认证服务生成令牌采用非对称加密算法，认证服务采用私钥加密生成令牌，对外向资源服务提供公钥，资源服务使用公钥 来校验令牌的合法性。
   将公钥拷贝到 publickey.txt文件中，将此文件拷贝到资源服务工程的classpath下
   
2. 添加依赖

<dependency>
	<groupId>org.springframework.cloud</groupId>
	<artifactId>spring-cloud-starter-oauth2</artifactId>
</dependency>

3. 在config包下创建ResourceServerConfig类：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.io.ClassPathResource;
import org.springframework.core.io.Resource;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;
import org.springframework.security.oauth2.provider.token.TokenStore;
import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter;
import org.springframework.security.oauth2.provider.token.store.JwtTokenStore;

import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStreamReader;
import java.util.stream.Collectors;

/**
 * @Auther: 洺润Star
 * @Date: 2020/2/8 16:55
 * @Description:
 */
@Configuration
@EnableResourceServer
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)//激活方法上的PreAuthorize注解
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    //公钥
    private static final String PUBLIC_KEY = "publickey.txt";

    //定义JwtTokenStore，使用jwt令牌
    @Bean
    public TokenStore tokenStore(JwtAccessTokenConverter jwtAccessTokenConverter) {
        return new JwtTokenStore(jwtAccessTokenConverter);
    }

    //定义JJwtAccessTokenConverter，使用jwt令牌
    @Bean
    public JwtAccessTokenConverter jwtAccessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setVerifierKey(getPubKey());
        return converter;
    }
    /**
     * 获取非对称加密公钥 Key
     * @return 公钥 Key
     */
    private String getPubKey() {
        Resource resource = new ClassPathResource(PUBLIC_KEY);
        try {
            InputStreamReader inputStreamReader = new InputStreamReader(resource.getInputStream());
            BufferedReader br = new BufferedReader(inputStreamReader);
            return br.lines().collect(Collectors.joining("\n"));
        } catch (IOException ioe) {
            return null;
        }
    }
    //Http安全配置，对每个到达系统的http请求链接进行校验
    @Override
    public void configure(HttpSecurity http) throws Exception {
        //所有请求必须认证通过
        http.authorizeRequests()
                //下边的路径放行
                .antMatchers("/v2/api-docs", "/swagger-resources/configuration/ui",
                        "/swagger-resources","/swagger-resources/configuration/security",
                        "/swagger-ui.html","/webjars/**","/course/coursepic/list/**",
                        "/course/courseview/**","/course/**").permitAll()
                .anyRequest().authenticated();
    }
}

3. 资源服务授权测试

我们可以发起请求来访问Controller, 如果请求时没有携带令牌则报错

{
	"error": "unauthorized",
	"error_description": "Full authentication is required to access this resource"
}

请求时携带令牌：
在http header中添加 Authorization： Bearer 令牌

请求则会通过，而当输入错误的令牌也无法正常访问资源。

4. 解决swagger-ui无法访问

修改授权配置类ResourceServerConfig的configure方法：
针对swagger-ui的请求路径进行放行,如上代码中

 //Http安全配置，对每个到达系统的http请求链接进行校验
    @Override
    public void configure(HttpSecurity http) throws Exception {
        //所有请求必须认证通过
        http.authorizeRequests()
                //下边的路径放行
                .antMatchers("/v2/api-docs", "/swagger-resources/configuration/ui",
                        "/swagger-resources","/swagger-resources/configuration/security",
                        "/swagger-ui.html","/webjars/**","/course/coursepic/list/**",
                        "/course/courseview/**","/course/**").permitAll()
                .anyRequest().authenticated();
    }

注意：
通过上边的配置虽然可以访问swagger-ui，但是无法进行单元测试，除非去掉认证的配置或在上边配置中添加所有请求均放行（"/**"）