spring-security-oauth2适配总结

spring-security-oauth2适配总结

前言

最近项目需要使用oauth2做第三方登录验证，原本以为在spring boot项目中，使用oauth2是个很简单的事情，毕竟spring security也支持oauth2 客户端模式嘛，谁知毕竟too naive，最后兜兜转转花了不少时间，才算搞定。
搜spring boot关于oauth2的使用，首先都是讲@EnableOAuth2Sso，一个注解加上配置文件就能搞定，我也建议都先用这种方式尝试一下，能搞定当然是最好的，搞不定的可以浏览下本篇文章，说不定能有帮到你的地方。
本文主要总结一下使用spring-security-oauth2适配三方登录验证的过程,authorization code模式。代码示例基于spring boot使用oauth2教程源码。

1、redirect_uri的设置

在服务端强校验redirect_uri的场景下，该值可能需要被设置以通过校验。而redirect_uri在spring-security-oauth2中并不是可配置的信息，只有通过源码方面的适配才能做到。
获取redirect_uri的功能是在 AbstractRedirectResourceDetails类中定义，AuthorizationCodeResourceDetails继承该类，验证码模式中使用该类来获取回调地址。

public String getRedirectUri(AccessTokenRequest request) {

    String redirectUri = request.getFirst("redirect_uri");

    if (redirectUri == null && request.getCurrentUri() != null && useCurrentUri) {
        redirectUri = request.getCurrentUri();
    }

    if (redirectUri == null && getPreEstablishedRedirectUri() != null) {
        // Override the redirect_uri if it is pre-registered
        redirectUri = getPreEstablishedRedirectUri();
    }如果

    return redirectUri;

}

从该函数的定义可以看出，回调地址会首先从AccessTokenRequest中获取，如果request中没有设置，则以当前访问地址为准，再者以上一次设置的redirect_uri为准。结合该段代码逻辑以及上文提到的filter，有三种方式可以设置redirect_uri：

1) 重新实现AuthorizationCodeResourceDetails，重写getRedirectUri函数，使之返回需要的redirect_uri。

2）重新实现AccessTokenRequest，使之能够设置redirect_uri。

3）设置OAuth2ClientAuthenticationProcessingFilter的捕获接口，使之与redirect_uri完全匹配, 因为该接口的定义间体现在上文代码中的request.getCurrentUri()。

这三种修改将在最后的代码实例中体现。

2 code的获取

验证码模式中，三方验证通过后，会通过回调地址传回验证码，一般包含code和state两个参数，通常，不太会出问题，但是奇葩就奇葩在参数命名上，不是每个服务器都使用code来命名参数，同时该参数也未提供配置支持，so，继续代码适配。
获取验证码是在DefaultAccessTokenRequest中定义：

/**
 * The authorization code for this context.
 * 
 * @return The authorization code, or null if none.
 */

public String getAuthorizationCode() {
    return getFirst("code");
}

（不知道你们看到这段代码是怎么想的，反正我当时是有点吃惊的，我以为最起码会定义个常量之类的），DefaultAccessTokenRequest通过http request获取到请求参数，然后其他类会调用getAuthorizationCode函数获取验证码，如果服务器返回的参数不是code而是auth_code或者其它东东，那这个流程肯定是不通的。
没有找到其它方法，只有重新实现AccessTokenRequest，使之能获取到正确的验证码。

3 access token的获取

同code的获取一样，这一步也可能会存在参数名不是默认名称的情况，但是我遇到的更奇葩，解析返回内容出错。。。
解析类的设置是在OAuth2AccessTokenSupport中定义，具体的解析功能是在FormOAuth2AccessTokenMessageConverter中定义:

public FormOAuth2AccessTokenMessageConverter() {
    super(new MediaType[]{MediaType.APPLICATION_FORM_URLENCODED,  MediaType.TEXT_PLAIN});
}

构造函数中指定了支持的MediaType,如果MediaType不同，是走不到解析的，逻辑判断是在AbstractHttpMessageConverter的canRead函数中定义：

MediaType supportedMediaType;
do {
    if (!var2.hasNext()) {
        return false;
    }

    supportedMediaType = (MediaType)var2.next();
} while(!supportedMediaType.includes(mediaType));

同样，倒霉的我碰到的MediaType偏偏不是上面定义的这两种，只有适配喽。

顺便说一下，access token的设置和获取是在DefaultOAuth2AccessToken中：

public static OAuth2AccessToken valueOf(Map<String, String>     tokenParams) {
    DefaultOAuth2AccessToken token = new DefaultOAuth2AccessToken((String)tokenParams.get("access_token"));
    ...
}

所以，如果遇到access token的返回不是默认参数名称access_token的时候，在重写converter的时候，OAuth2AccessToken也需要重写。

4 用户信息的获取

默认的用户信息的获取功能是在UserInfoTokenServices中定义，同上面几种情况一样，如果在请求用户信息的时候需要额外的参数设置，或者返回内容无法使用默认函数解析的时候，只有重写实现ResourceServerTokenServices接口了。

5 代码实例

1) code的获取

重新实现AccessTokenRequest：

public class MyAccessTokenRequest extends   DefaultAccessTokenRequest {
        ...

        @Override
        public String getAuthorizationCode() {
            return getFirst("authorization_code");
        }

        @Override
        public void setAuthorizationCode(String code) {
            set("authorization_code", code);
        }
}

可以根据需要重写state的获取与设置函数。

2)redirect_uri的设置

redirect_uri的设置使用上文提到的重新实现AccessTokenRequest的方式,在AccessTokenRequest实例化的时候将值设置进AccessTokenRequest中：

//在这里将redirect_uri替换为你自己的回调地址
request.set("redirect_uri", "http://127.0.0.1:8080/login/oauth2");

该函数通常放在EnableOAuth2Client注解的类中。

3）access token的获取

我碰到的情况是服务器返回json，所以根据需要重写了converter:

public class MyOauth2AccessTokenMessageConverter extends AbstractHttpMessageConverter<OAuth2AccessToken> {

    private final StringHttpMessageConverter delegateMessageConverter = new StringHttpMessageConverter();

    public MyOauth2AccessTokenMessageConverter() {
        super(new MediaType[]{MediaType.APPLICATION_FORM_URLENCODED,
                MediaType.TEXT_PLAIN,
                MediaType.TEXT_HTML,
                MediaType.TEXT_XML});
    }

    protected boolean supports(Class<?> clazz) {
        return OAuth2AccessToken.class.equals(clazz);
    }

    protected OAuth2AccessToken readInternal(Class<? extends OAuth2AccessToken> clazz, HttpInputMessage inputMessage) throws IOException, HttpMessageNotReadableException {
        String raw = this.delegateMessageConverter.read((Class)null, inputMessage);
        JSONObject o = JSON.parseObject(raw);
        Map<String, String> m = new HashMap<String, String>();
        for (Map.Entry<String, Object>  entry : o.entrySet()) {
            m.put(entry.getKey(), String.valueOf(entry.getValue()));
        }
        //如果重写OAuth2AccessToken，在这里进行实例化
        //吐槽一下：不太明白valueof为啥用<String, String>，其实函数内部都做了强转，为毛不用<String, Object>?
        return DefaultOAuth2AccessToken.valueOf(m);
    }

    protected void writeInternal(OAuth2AccessToken accessToken, HttpOutputMessage outputMessage) throws IOException, HttpMessageNotWritableException {
        //根据需要实现
        //不需要的直接抛异常即可
    }

}

可以根据需要重写该converter。

4）用户信息的获取.

ResourceServerTokenServices比较简单，只有两个接口，不需要的接口直接抛异常就行。
public class MyUserInfoTokenService implements ResourceServerTokenServices {

    private String userInfoEndpointUrl;
    private String clientId;

    public MyUserInfoTokenService(String userInfoUrl, String appId) {
        this.userInfoEndpointUrl = userInfoUrl;
        this.clientId = appId;
    }

    @Override
    public OAuth2Authentication loadAuthentication(String accessToken)
            throws AuthenticationException, InvalidTokenException {
        ... 
        //根据access token获取用户信息
    }
}

5) state的生成

根据项目需要，state可能需要按照自己的规则生成，很简单，重新实现StateKeyGenerator即可:

public class MyStateKeyGenerateor implements StateKeyGenerator {
    @Override
    public String generateKey(OAuth2ProtectedResourceDetails oAuth2ProtectedResourceDetails) {
        //实现自己的state生成函数
        return "123456";
    }
}

6) 适配代码的组装

上面各种适配，总要在一个地方组装起来(示例代码只涉及改动的地方，缺失部分参考附录[3]的源码)：

@SpringBootApplication
@EnableOAuth2Client
public class SocialApplication extends WebSecurityConfigurerAdapter {

    //自定义AccessTokenRequest的设置，以及redirect_uri的设置
    @Bean(name="accessTokenRequest")
    @Scope(value = "request", proxyMode = ScopedProxyMode.INTERFACES)
    protected AccessTokenRequest accessTokenRequest(@Value("#{request.parameterMap}")
                                                            Map<String, String[]> parameters, @Value("#{request.getAttribute('currentUri')}")
                                                            String currentUri) {
        MyAccessTokenRequest request = new MyAccessTokenRequest(parameters);
        request.setCurrentUri(currentUri);
        //该处可以设置你自己的回调地址
        request.set("redirect_uri", "http://127.0.0.1:8080/login/oauth2");
        return request;
    }

    private Filter ssoFilter() {
        //可以将/login/oauth2设置为你自己的回调接口，对应的是上文中提到的filter设置回调。
        //注意这个地方，使用filter方式，前端设置的访问接口也需要一致
        //（强校验场景下，localhost和127.0.0.1也是有区别的）
        OAuth2ClientAuthenticationProcessingFilter facebookFilter = new OAuth2ClientAuthenticationProcessingFilter(
                "/login/oauth2");
        OAuth2RestTemplate facebookTemplate = new OAuth2RestTemplate(facebook(), oauth2ClientContext);
        AuthorizationCodeAccessTokenProvider tokenProvider = new AuthorizationCodeAccessTokenProvider();
        //设置state生成器
        tokenProvider.setStateKeyGenerator(new MyStateKeyGenerateor());
        List<HttpMessageConverter<?>> messageConverters = new ArrayList<>();
        messageConverters.add(new MyOauth2AccessTokenMessageConverter());
        //设置access token解析器
        tokenProvider.setMessageConverters(messageConverters);

        facebookTemplate.setAccessTokenProvider(tokenProvider);
        facebookTemplate.setRetryBadAccessTokens(false);

        facebookFilter.setRestTemplate(facebookTemplate);
        //设置用户信息的获取方式
        facebookFilter.setTokenServices(new MyUserInfoTokenService(facebookResource().getUserInfoUri(), facebook().getClientId()));

        return facebookFilter;
    }

    @Bean
    @ConfigurationProperties("facebook.client")
    //如果使用上文提到的重新实现AuthorizationCodeResourceDetails方式实现获取redirect_uri，可以在这里进行实例化
    public AuthorizationCodeResourceDetails facebook() {
        return new AuthorizationCodeResourceDetails();
    }

    @Bean
    @ConfigurationProperties("facebook.resource")
    public ResourceServerProperties facebookResource() {
        return new ResourceServerProperties();
    }

}

总结

debug了几天，基本搞清楚了spring-security-oauth2的运转，有点不太明白有些参数名为啥被硬编码在代码中，这样做确实在协议兼容性上不太友好；另外，有时间需要看下原版oauth2协议，目前所知太片面。

参考:
[1] spring-security-oauth2源码
[2] spring boot使用oauth2教程
[3] spring boot使用oauth2教程源码