Spring Boot Security OAuth2 实现支持JWT令牌的授权服务器

最新推荐文章于 2024-07-18 17:21:31 发布
最新推荐文章于 2024-07-18 17:21:31 发布
阅读量1.4k 收藏 7
点赞数
分类专栏： SpringBoot 文章标签： Spring Security OAuth2 JWT
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u010562966/article/details/89037161
版权

概要

之前的两篇文章，讲述了Spring Security 结合 OAuth2 、JWT 的使用，这一节要求对 OAuth2、JWT 有了解，若不清楚，先移步到下面两篇提前了解下。

Spring Boot Security 整合 OAuth2 设计安全API接口服务

Spring Boot Security 整合 JWT 实现 无状态的分布式API接口

这一篇我们来实现 支持 JWT令牌 的授权服务器。

优点

使用 OAuth2 是向认证服务器申请令牌，客户端拿这令牌访问资源服务服务器，资源服务器校验了令牌无误后，如果资源的访问用到用户的相关信息，那么资源服务器还需要根据令牌关联查询用户的信息。

使用 JWT 是客户端通过用户名、密码 请求服务器获取 JWT，服务器判断用户名和密码无误之后，可以将用户信息和权限信息经过加密成 JWT 的形式返回给客户端。在之后的请求中，客户端携带 JWT 请求需要访问的资源，如果资源的访问用到用户的相关信息，那么就直接从JWT中获取到。

所以，如果我们在使用 OAuth2 时结合JWT ，就能节省集中式令牌校验开销，实现无状态授权认证。

快速上手

项目说明

工程名端口作用
jwt-authserver8080授权服务器
jwt-resourceserver8081资源服务器

授权服务器

pom.xml
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.security.oauth.boot</groupId>
    <artifactId>spring-security-oauth2-autoconfigure</artifactId>
    <version>2.1.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-jwt</artifactId>
    <version>1.0.10.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>
WebSecurityConfig
@Configuration
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.
             authorizeRequests().antMatchers("/**").permitAll();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth
            .inMemoryAuthentication()
            .withUser("user").password("123456").roles("USER");
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new PasswordEncoder() {
            @Override
            public String encode(CharSequence charSequence) {
                return charSequence.toString();
            }

            @Override
            public boolean matches(CharSequence charSequence, String s) {
                return Objects.equals(charSequence.toString(),s);
            }
        };
    }

}

为了方便，使用内存模式，在内存中创建一个用户 user 密码 123456。

OAuth2AuthorizationServer
/**
 * 授权服务器
 */
@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServer extends AuthorizationServerConfigurerAdapter {

    /**
     * 注入AuthenticationManager ，密码模式用到
     */
    @Autowired
    private AuthenticationManager authenticationManager;

    /**
     * 对Jwt签名时，增加一个密钥
     * JwtAccessTokenConverter：对Jwt来进行编码以及解码的类
     */
    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey("test-secret");
        return converter;
    }

    /**
     * 设置token 由Jwt产生，不使用默认的透明令牌
     */
    @Bean
    public JwtTokenStore jwtTokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints
                .authenticationManager(authenticationManager)
                .tokenStore(jwtTokenStore())
                .accessTokenConverter(accessTokenConverter());
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("clientapp")
                .secret("123")
                .scopes("read")
                //设置支持[密码模式、授权码模式、token刷新]
                .authorizedGrantTypes(
                        "password",
                        "authorization_code",
                        "refresh_token");
    }


}

资源服务器

pom.xml
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.security.oauth.boot</groupId>
    <artifactId>spring-security-oauth2-autoconfigure</artifactId>
    <version>2.1.3.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-jwt</artifactId>
    <version>1.0.10.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>
HelloController
@RestController("/api")
public class HelloController {

    @PostMapping("/api/hi")
    public String say(String name) {
        return "hi , " + name;
    }

}
OAuth2ResourceServer
/**
 * 资源服务器
 */
@Configuration
@EnableResourceServer
public class OAuth2ResourceServer extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .anyRequest().authenticated().and()
            .requestMatchers().antMatchers("/api/**");
    }
}
application.yml
server:
  port: 8081

security:
  oauth2:
    resource:
      jwt:
        key-value: test-secret

参数说明：

  • security.oauth2.resource.jwt.key-value：设置签名key 保持和授权服务器一致。
  • security.oauth2.resource.jwt：项目启动过程中，检查到配置文件中有
    security.oauth2.resource.jwt 的配置，就会生成 jwtTokenStore 的 bean，对令牌的校验就会使用 jwtTokenStore 。

验证

请求令牌

curl -X POST --user 'clientapp:123' -d 'grant_type=password&username=user&password=123456' http://localhost:8080/oauth/token

返回JWT令牌

{
	"access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE1NTQ0MzExMDgsInVzZXJfbmFtZSI6InVzZXIiLCJhdXRob3JpdGllcyI6WyJST0xFX1VTRVIiXSwianRpIjoiOGM0YWMyOTYtMDQwYS00Y2UzLTg5MTAtMWJmNjZkYTQwOTk3IiwiY2xpZW50X2lkIjoiY2xpZW50YXBwIiwic2NvcGUiOlsicmVhZCJdfQ.YAaSRN0iftmlR6Khz9UxNNEpHHn8zhZwlQrCUCPUmsU",
	"token_type": "bearer",
	"refresh_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX25hbWUiOiJ1c2VyIiwic2NvcGUiOlsicmVhZCJdLCJhdGkiOiI4YzRhYzI5Ni0wNDBhLTRjZTMtODkxMC0xYmY2NmRhNDA5OTciLCJleHAiOjE1NTY5Nzk5MDgsImF1dGhvcml0aWVzIjpbIlJPTEVfVVNFUiJdLCJqdGkiOiI0ZjA5M2ZjYS04NmM0LTQxZWUtODcxZS1kZTY2ZjFhOTI0NTAiLCJjbGllbnRfaWQiOiJjbGllbnRhcHAifQ.vvAE2LcqggBv8pxuqU6RKPX65bl7Zl9dfcoIbIQBLf4",
	"expires_in": 43199,
	"scope": "read",
	"jti": "8c4ac296-040a-4ce3-8910-1bf66da40997"
}

携带JWT令牌请求资源

curl -X POST -H "authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE1NTQ0MzExMDgsInVzZXJfbmFtZSI6InVzZXIiLCJhdXRob3JpdGllcyI6WyJST0xFX1VTRVIiXSwianRpIjoiOGM0YWMyOTYtMDQwYS00Y2UzLTg5MTAtMWJmNjZkYTQwOTk3IiwiY2xpZW50X2lkIjoiY2xpZW50YXBwIiwic2NvcGUiOlsicmVhZCJdfQ.YAaSRN0iftmlR6Khz9UxNNEpHHn8zhZwlQrCUCPUmsU" -d 'name=zhangsan' http://localhost:8081/api/hi

返回

hi , zhangsan

源码

https://github.com/gf-huanchupk/SpringBootLearning/tree/master/springboot-security-oauth2-jwt

扫码关注我的公众号，精彩内容不能错过！
程序员果果
关注
专栏目录
Spring Security+OAuth2 + JWT认证以及携带用户信息
buxiaoxia的专栏
03-20 3万+
基于Spring Security的OAuth2.0+JWT认证方式实现 提供认证服务端，资源服务端的配置 提供JWT对称加密、非对称加密方式
详细分析Spring Security OAuth2中的JwtAccessTokenConverter基本知识（附Demo）
最新发布
码农研究僧的博客
10-07 1854
JwtAccessTokenConverter 是 Spring Security OAuth2 中的一个重要组件，主要用于生成和验证 JSON Web Token (JWT) JWT 的结构： JWT 由三部分组成：头部（Header）、负载（Payload）和签名（Signature） 头部通常包含令牌的类型（JWT）和签名算法（如 HMAC SHA256） 负载部分包含声明（Claims），即与用户相关的信息，例如权限、过期时间等 签名是使用头部和负载生成的，用于验证令牌的完整性
Spring OAuth2 Resource Server 配置
semicolon_hello的专栏
03-29 1975
Spring OAuth2 Resource Server 是 Spring Security 中的一个模块，用于保护资源服务器上的API资源，确保只有持有合法访问令牌（access token）的客户端才能访问受保护的资源。
spring-boot-2-oauth2-resource-server：带有用户和客户端数据库（JPA，Hibernate，MySQL）的Spring Boot 2 OAuth2资源和授权服务器实现
02-04
Spring Boot 2 Oauth2资源和授权服务器 使用用户和客户端数据库（JPA，Hibernate，MySQL）的Spring Boot 2 OAuth2资源和授权服务器实现 入门 这些说明将为您提供在本地计算机上运行并运行的项目的副本，以进行开发和测试。 请参阅运行以获取有关如何在系统上运行项目的注释。 先决条件 将项目克隆到您的本地环境： git clone https://github.com/indrekru/spring-boot-2-oauth2-resource-server.git 您需要在您的环境中安装Maven： Mac（自制）： brew install
Spring Boot Security OAuth2 实现支持JWT令牌的授权服务器源码.zip
03-25
通过以上步骤，我们可以创建一个安全、高效的OAuth2授权服务器，它使用JWT令牌进行认证和授权。这种方式不仅提高了安全性，还降低了服务器的存储负担，因为不再需要管理会话状态。理解并掌握这些技术对于构建现代...
spring boot security oauth2 实现支持jwt令牌的授权服务器
11-16
Spring Boot Security OAuth2是基于Spring Security和OAuth2的框架，用于实现授权服务器和资源服务器。JWT令牌是一个基于JSON的开放标准，用于在各方之间安全地传输信息。 在Spring Boot Security OAuth2中实现支持...
Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权
04-22
本教程将探讨如何使用Spring Boot结合Spring Security、OAuth2和JWT（JSON Web Token）来搭建一个认证服务器、API网关以及微服务之间的权限认证和授权机制。 首先，Spring Security是Spring框架的一个模块，专门...
Spring Security OAuth 2.0 资源服务器— JWT
深圳市多克创新科技有限公司
11-04 1706
Spring Security OAuth 2.0 资源服务器— JWT
spring-boot-2-oauth2-resource-jwt:Spring Boot 2 OAuth2 JWT资源服务器实现，在令牌和自定义主体中具有自定义详细信息
05-19
Spring Boot 2 OAuth2 JWT资源服务器 链接到项目
例子10--spring-boot-starter-oauth2最新版--JWT的测试--资源服务（2）
chencaw的专栏
04-26 1193
1、重新创建一个资源服务 2、pom.xml如下 <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://ma
Security OAuth2 授权 & JWT
pscool的博客
03-06 1066
引入依赖 <!--整合spring-security--> <dependency> <groupId>org.springframework.security</groupId> <artifactId>spring-security-web</artifactId> <version>5.1.4.RELEASE</version> </dependency&g
Spring Boot 2.x实战84 - Spring Security 8 - OAuth 2.0之Resource Server（基于JWT）
热门推荐
汪云飞记录本
06-29 1万+
OAuth 2.0是安全授权的工业标准协议，我们了解它需要理解下面的专用术语： 交互参与方： Client：需要访问Resource Sever受保护资源的应用； Resource Owner ：终端用户，Client通过终端用户进行不同类型的授权（Grant Type）； Authorization Server：提供访问授权的应用，Client使用某种Grant Type向Authorization Server获取Access Token； Resource Sever：包含受保护资源的应用，
Spring Boot 中的OAuth 2
xwnxwn的专栏
10-03 752
OAuth是一个开放标准，该标准允许用户让第三方应用访问该用户在某一网站上存储的私密资源(如头像、照片、视频等)，而在这个过程中无须将用户名和密码提供给第三方应用。实现这一功能是通过提供一个令牌(token) ，而不是用户名和密码来访问他们存放在特定服务提供者的数据。每一个令牌授权一个特定的网站在特定的时段内访问特定的资源。这样，OAuth 让用户可以授权第三方网站灵活地访问存储在另外一些资源服务器的特定信息，而非所有内容。例如，用户想通过QQ登录知乎，这时知乎就是-一个第三方应用，知乎要访问用户的一些基本
Springboot利用Security做OAuth2资源服务器
dengdaijc的专栏
12-12 2234
利用Spring Security搭建OAuth2资源服务器，通过简单配置实现向验证服务器进行登录验证的功能。
Spring Authorization-Spring Boot引入Resource Server对接认证服务
qq_33240556的博客
07-18 311
利用Spring Security的授权配置来定义哪些资源路径需要哪种类型的访问权限。这通常在Java配置类中完成，或者直接在中定义。@Overridehttp// 或者 .opaquetoken() 如果使用Opaque Tokens。
SpringSecurity+Oauth2+Jwt的配置
安迪爸爸
07-16 1743
前言 文章搭建工程基于Idea。SpringSecurity+Oauth2+Jwt实现了什么功能？ SpringSecurity主要的工作就是拦截请求，只有满足基于springSecurity你定义的规则，才允许继续访问相应的资源或接口。可以说是一套权限管理的框架。能非常方便细致的帮助我们管理接口和资源的权限。 比如一个apicontroller里定义了多个接口，admin可以访问所有接口，角...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值