聊聊spring security oauth2的password方式的认证

最新推荐文章于 2022-10-08 17:32:53 发布
最新推荐文章于 2022-10-08 17:32:53 发布
阅读量662 收藏 1
点赞数
文章标签： java
原文链接：https://juejin.im/post/5a2ddfb46fb9a045055e1199
版权

序

本文主要来聊聊spring security oauth2的password方式的认证

/oauth/token

这个主要见上一篇文章，讲了是怎么拦截处理/oauth/token的，其中有个点还需要强调一下，就是支持password授权模式的话，还需要额外支持用户登录认证。

password模式

这个模式需要额外处理，首先经过filter认证通过，然后进入endpoint spring-security-oauth2-2.0.14.RELEASE-sources.jar!/org/springframework/security/oauth2/provider/endpoint/TokenEndpoint.java

@RequestMapping(value = "/oauth/token", method=RequestMethod.POST)
	public ResponseEntity<OAuth2AccessToken> postAccessToken(Principal principal, @RequestParam
	Map<String, String> parameters) throws HttpRequestMethodNotSupportedException {

		if (!(principal instanceof Authentication)) {
			throw new InsufficientAuthenticationException(
					"There is no client authentication. Try adding an appropriate authentication filter.");
		}

		String clientId = getClientId(principal);
		ClientDetails authenticatedClient = getClientDetailsService().loadClientByClientId(clientId);

		TokenRequest tokenRequest = getOAuth2RequestFactory().createTokenRequest(parameters, authenticatedClient);

		if (clientId != null && !clientId.equals("")) {
			// Only validate the client details if a client authenticated during this
			// request.
			if (!clientId.equals(tokenRequest.getClientId())) {
				// double check to make sure that the client ID in the token request is the same as that in the
				// authenticated client
				throw new InvalidClientException("Given client ID does not match authenticated client");
			}
		}
		if (authenticatedClient != null) {
			oAuth2RequestValidator.validateScope(tokenRequest, authenticatedClient);
		}
		if (!StringUtils.hasText(tokenRequest.getGrantType())) {
			throw new InvalidRequestException("Missing grant type");
		}
		if (tokenRequest.getGrantType().equals("implicit")) {
			throw new InvalidGrantException("Implicit grant type not supported from token endpoint");
		}

		if (isAuthCodeRequest(parameters)) {
			// The scope was requested or determined during the authorization step
			if (!tokenRequest.getScope().isEmpty()) {
				logger.debug("Clearing scope of incoming token request");
				tokenRequest.setScope(Collections.<String> emptySet());
			}
		}

		if (isRefreshTokenRequest(parameters)) {
			// A refresh token has its own default scopes, so we should ignore any added by the factory here.
			tokenRequest.setScope(OAuth2Utils.parseParameterList(parameters.get(OAuth2Utils.SCOPE)));
		}

		OAuth2AccessToken token = getTokenGranter().grant(tokenRequest.getGrantType(), tokenRequest);
		if (token == null) {
			throw new UnsupportedGrantTypeException("Unsupported grant type: " + tokenRequest.getGrantType());
		}

		return getResponse(token);

	}
复制代码

这里从getTokenGranter().grant(tokenRequest.getGrantType(), tokenRequest)这里会根据不同认证方式获取token，其中password比较特别，需要走用户账号密码认证，这里匹配的granter是ResourceOwnerPasswordTokenGranter

spring-security-oauth2-2.0.14.RELEASE-sources.jar!/org/springframework/security/oauth2/provider/password/ResourceOwnerPasswordTokenGranter.java

public class ResourceOwnerPasswordTokenGranter extends AbstractTokenGranter {

	private static final String GRANT_TYPE = "password";

	private final AuthenticationManager authenticationManager;

	public ResourceOwnerPasswordTokenGranter(AuthenticationManager authenticationManager,
			AuthorizationServerTokenServices tokenServices, ClientDetailsService clientDetailsService, OAuth2RequestFactory requestFactory) {
		this(authenticationManager, tokenServices, clientDetailsService, requestFactory, GRANT_TYPE);
	}

	protected ResourceOwnerPasswordTokenGranter(AuthenticationManager authenticationManager, AuthorizationServerTokenServices tokenServices,
			ClientDetailsService clientDetailsService, OAuth2RequestFactory requestFactory, String grantType) {
		super(tokenServices, clientDetailsService, requestFactory, grantType);
		this.authenticationManager = authenticationManager;
	}

	@Override
	protected OAuth2Authentication getOAuth2Authentication(ClientDetails client, TokenRequest tokenRequest) {

		Map<String, String> parameters = new LinkedHashMap<String, String>(tokenRequest.getRequestParameters());
		String username = parameters.get("username");
		String password = parameters.get("password");
		// Protect from downstream leaks of password
		parameters.remove("password");

		Authentication userAuth = new UsernamePasswordAuthenticationToken(username, password);
		((AbstractAuthenticationToken) userAuth).setDetails(parameters);
		try {
			userAuth = authenticationManager.authenticate(userAuth);
		}
		catch (AccountStatusException ase) {
			//covers expired, locked, disabled cases (mentioned in section 5.2, draft 31)
			throw new InvalidGrantException(ase.getMessage());
		}
		catch (BadCredentialsException e) {
			// If the username/password are wrong the spec says we should send 400/invalid grant
			throw new InvalidGrantException(e.getMessage());
		}
		if (userAuth == null || !userAuth.isAuthenticated()) {
			throw new InvalidGrantException("Could not authenticate user: " + username);
		}
		
		OAuth2Request storedOAuth2Request = getRequestFactory().createOAuth2Request(client, tokenRequest);		
		return new OAuth2Authentication(storedOAuth2Request, userAuth);
	}
}
复制代码

可以看到这里获取用户名密码，然后进行认证。这里有个问题，之前不是已经设置了userDetailsService为ClientDetailsUserDetailsService了么，这里是如何还支持用户的password认证的。

之前这里指定了userDetailsService为clientDetailsUserDetailsService spring-security-oauth2-2.0.14.RELEASE-sources.jar!/org/springframework/security/oauth2/config/annotation/web/configurers/AuthorizationServerSecurityConfigurer.java

	@Override
	public void init(HttpSecurity http) throws Exception {

		registerDefaultAuthenticationEntryPoint(http);
		if (passwordEncoder != null) {
			ClientDetailsUserDetailsService clientDetailsUserDetailsService = new ClientDetailsUserDetailsService(clientDetailsService());
			clientDetailsUserDetailsService.setPasswordEncoder(passwordEncoder());
			http.getSharedObject(AuthenticationManagerBuilder.class)
					.userDetailsService(clientDetailsUserDetailsService)
					.passwordEncoder(passwordEncoder());
		}
		else {
			http.userDetailsService(new ClientDetailsUserDetailsService(clientDetailsService()));
		}
		http.securityContext().securityContextRepository(new NullSecurityContextRepository()).and().csrf().disable()
				.httpBasic().realmName(realm);
	}
复制代码

AuthorizationServerSecurityConfigurer与AuthorizationServerEndpointsConfigurer

答案就在这个细节中，相对于TokenEndpoint来说，之前配置的是AuthorizationServerSecurityConfigurer，这个相当于pre认证，而AuthorizationServerEndpointsConfigurer这个相当于after认证。

之前讲述password模式的时候，特意提到的需要额外的配置

	@Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        //todo 这里额外指定了/oauth/token的password模式要使用的userDetailsService
        endpoints.authenticationManager(authenticationManager);
        endpoints.userDetailsService(userDetailsService);
        endpoints.tokenStore(tokenStore());
    }
复制代码

对，就是这里指定了进入TokenEndpoint之后使用的authenticationManager和userDetailsService

这里也就额外体现了authenticationManager和userDetailsService分离的好处。

AuthorizationServerEndpointsConfigurer

spring-security-oauth2-2.0.14.RELEASE-sources.jar!/org/springframework/security/oauth2/config/annotation/web/configurers/AuthorizationServerEndpointsConfigurer.java

public AuthorizationServerEndpointsConfigurer userDetailsService(UserDetailsService userDetailsService) {
		if (userDetailsService != null) {
			this.userDetailsService = userDetailsService;
			this.userDetailsServiceOverride = true;
		}
		return this;
	}
复制代码

设置了userDetailsService之后，userDetailsServiceOverride这个就为true，之后在外部的配置 spring-security-oauth2-2.0.14.RELEASE-sources.jar!/org/springframework/security/oauth2/config/annotation/web/configuration/AuthorizationServerSecurityConfiguration.java

	@Override
	protected void configure(HttpSecurity http) throws Exception {
		AuthorizationServerSecurityConfigurer configurer = new AuthorizationServerSecurityConfigurer();
		FrameworkEndpointHandlerMapping handlerMapping = endpoints.oauth2EndpointHandlerMapping();
		http.setSharedObject(FrameworkEndpointHandlerMapping.class, handlerMapping);
		configure(configurer);
		http.apply(configurer);
		String tokenEndpointPath = handlerMapping.getServletPath("/oauth/token");
		String tokenKeyPath = handlerMapping.getServletPath("/oauth/token_key");
		String checkTokenPath = handlerMapping.getServletPath("/oauth/check_token");
		if (!endpoints.getEndpointsConfigurer().isUserDetailsServiceOverride()) {
			UserDetailsService userDetailsService = http.getSharedObject(UserDetailsService.class);
			endpoints.getEndpointsConfigurer().userDetailsService(userDetailsService);
		}
		// @formatter:off
		http
        	.authorizeRequests()
            	.antMatchers(tokenEndpointPath).fullyAuthenticated()
            	.antMatchers(tokenKeyPath).access(configurer.getTokenKeyAccess())
            	.antMatchers(checkTokenPath).access(configurer.getCheckTokenAccess())
        .and()
        	.requestMatchers()
            	.antMatchers(tokenEndpointPath, tokenKeyPath, checkTokenPath)
        .and()
        	.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.NEVER);
		// @formatter:on
		http.setSharedObject(ClientDetailsService.class, clientDetailsService);
	}
复制代码

这里额外判断了如果没有被覆盖的话，才设置userDetailsService

其他

之前AuthorizationServerSecurityConfigurer为什么不需要额外指定authenticationManager呢，因为内部的配置帮你配置好了 spring-security-oauth2-2.0.14.RELEASE-sources.jar!/org/springframework/security/oauth2/config/annotation/web/configurers/AuthorizationServerSecurityConfigurer.java

private ClientCredentialsTokenEndpointFilter clientCredentialsTokenEndpointFilter(HttpSecurity http) {
		ClientCredentialsTokenEndpointFilter clientCredentialsTokenEndpointFilter = new ClientCredentialsTokenEndpointFilter(
				frameworkEndpointHandlerMapping().getServletPath("/oauth/token"));
		clientCredentialsTokenEndpointFilter
				.setAuthenticationManager(http.getSharedObject(AuthenticationManager.class));
		OAuth2AuthenticationEntryPoint authenticationEntryPoint = new OAuth2AuthenticationEntryPoint();
		authenticationEntryPoint.setTypeName("Form");
		authenticationEntryPoint.setRealmName(realm);
		clientCredentialsTokenEndpointFilter.setAuthenticationEntryPoint(authenticationEntryPoint);
		clientCredentialsTokenEndpointFilter = postProcess(clientCredentialsTokenEndpointFilter);
		http.addFilterBefore(clientCredentialsTokenEndpointFilter, BasicAuthenticationFilter.class);
		return clientCredentialsTokenEndpointFilter;
	}
复制代码

看这里从http.getSharedObject(AuthenticationManager.class)获取然后指定了。

小结

  • 请求/oauth/token的，如果配置支持allowFormAuthenticationForClients的，且url中有client_id和client_secret的会走ClientCredentialsTokenEndpointFilter
  • 请求/oauth/token的，如果没有支持allowFormAuthenticationForClients或者有支持但是url中没有client_id和client_secret的，走basic认证
  • client detail认证(走AuthorizationServerSecurityConfigurer的配置)成功之后，如果是password模式，要走用户账号密码认证
  • 走password的就是用AuthorizationServerEndpointsConfigurer中配置的userDetailsService来进行认证
weixin_33895475
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Spring Security OAuth2认证授权示例详解
08-25
主要介绍了Spring Security OAuth2认证授权示例详解，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
springBoot+security+oauth2 资源和认证分离的密码模式
08-09
springBoot+security+oauth2 资源和认证分离的密码模式
spring security oauth2 password模式简单入门
zuoyigehaizei的博客
02-21 3971
1，oauth2需要配置三部分  （1）配置spring security   因为oauth2是基于security的 用来验证用户名和密码的 （2）配置认证服务器 用来分发token并且存储token,因为本地没有安装redis，所以本文采用数据库的形式存储token （3）配置资源服务器 保护被需要访问的资源，解析token 导入依赖 &lt;!--spring secur...
oauth2.0密码模式详解
weixin_44846436的博客
03-08 4112
oauth2.0密码模式 欢迎关注博主公众号「Java大师」, 专注于分享Java领域干货文章http://www.javaman.cn/sb2/oauth-password 如果你高度信任某个应用，RFC 6749 也允许用户把用户名和密码，直接告诉该应用。该应用就使用你的密码，申请令牌，这种方式称为"密码式"（password）。 1、密码模式流程 第一步，A 网站要求用户提供 B 网站的用户名和密码。拿到以后，A 就直接向 B 请求令牌。 https://oauth.b.com/token?
Oauth2与Spring Security框架的认证授权管理
小蜜蜂1010的博客
10-24 896
又到了一年一度的1024程序员节，需要守住csdn的1024勋章，准备总结一点关于授权相关的知识点！
oauth password模式_Spring Security OAuth2 Demo —— 密码模式（Password）
weixin_39863759的博客
12-22 265
前情回顾前几节分享了OAuth2的流程与授权码模式和隐式授权模式两种的Demo，我们了解到授权码模式是OAuth2四种模式流程最复杂模式，复杂程度由大至小：授权码模式 > 隐式授权模式 > 密码模式 > 客户端模式其中密码模式的流程是：让用户填写表单提交到授权服务器，表单中包含用户的用户名、密码、客户端的id和密钥的加密串，授权服务器先解析并校验客户端信息，然后校验用户信息，完全...
spring security oauth2 password授权模式
weixin_33748818的博客
12-03 1187
序 前面的一篇文章讲了spring security oauth2的client credentials授权模式，一般用于跟用户无关的，开放平台api认证相关的授权场景。本文主要讲一下跟用户相关的授权模式之一password模式。 回顾四种模式 OAuth 2.0定义了四种授权方式。 授权码模式（authorization code） ...
Spring Security Oauth2 认证流程（password模式）
穷水叮咚的博客
07-08 1万+
1.本文介绍的认证流程范围 本文主要对从用户发起获取token的请求（/oauth/token），到请求结束返回token中间经过的几个关键点进行说明。 2.认证会用到的相关请求 注：所有请求均为post请求。 获取access_token请求（/oauth/token） 请求所需参数：client_id、client_secret、grant_type、username、password ...
Spring Security Oauth2 认证（获取token/刷新token）流程（password模式）测试坑
qq_42534991的博客
06-09 570
今天整了个Spring Security Oauth2 认证利用Postman进行测试，测试过程中简直坑的不要不要的以此来纪念一下。同时非常感谢以下一篇博文。 https://blog.csdn.net/bluuusea/article/details/80284458
oauth password模式_史上最干的Oauth案例分析
weixin_42515120的博客
01-06 551
一、什么是Oauth2OAuth 2.0是目前最流行的授权机制，用来授权第三方应用，获取用户数据，访问用户资源。1.授权码模式的第三方登录架构client：第三方应用。eg：使用qq 或者微信 1.登录web端的processon 2.登录知乎 3.登录百度网盘等Resource owner : 资源拥有者。即qq和微信账号的拥有者，拥有的资源如：qq 号、qq密码、昵称、头像、身份证号等个人...
Spring Security Oauth2.0认证授权专题
06-19
Spring boot+Spring Security Oauth2.0，Sprint cloud+Spring Security Oauth2集成。四种认证方式。附带有代码，和案例，案例，还有视频链接。我保证看完就回，如果视频链接失效，评论回复我，我单独再给你一份。
微信扫一扫登录、微信支付、springsecurity&oauth2
09-26
项目中使用到的技术包含SpringBoot、SpringSecurity&oauth2(安全资源和授权中心模式、包括登录接口自定义返回字段、自定义手机号+密码登录、自定义免密登录)、Queue队列、线程池、xss攻击配置、SpringCache、Mybatis...
Spring Security OAuth2 实现登录互踢的示例代码
08-19
主要介绍了Spring Security OAuth2实现登录互踢的示例代码，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
使用Spring Security OAuth2实现单点登录
08-25
在本教程中，我们将讨论如何使用Spring Security OAuth和Spring Boot实现SSO - 单点登录。感兴趣的朋友跟随小编一起看看吧
Spring Security OAuth2密码模式(四)
FAIRYTAIL的博客
08-28 2931
之前已经使用客户端模式进行认证授权的演示记录，但到目前为止还没有使用到用户相关的信息，之前项目都是在用户登录的时候判断用户名和密码是否正确，都校验通过后查询用户拥有的角色及菜单，并将用户权限信息放入session，那使用oauth2后怎么结合用户的角色权限保护资源呢？本篇记录一下密码模式的使用姿势。
OAuth2四种授权登录之密码模式获取TOKEN
热门推荐
GinChou的萌新博客
09-03 1万+
学习地址: https://www.majiaxueyuan.com/uc/play/65 目录 1.简介 2.Oauth2角色划分 3.OAuth2为我们提供了四种授权方式 4.密码获取TOKEN方式 5.测试 1.简介 OAuth（开放授权）是一个开放标准，允许用户授权第三方网站访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方网站或分享他们数据的所...
oauth password模式_转 - spring security oauth2 password授权模式
weixin_39640543的博客
12-22 177
原贴地址：https://segmentfault.com/a/1190000012260914#articleHeader6序前面的一篇文章讲了spring security oauth2的client credentials授权模式，一般用于跟用户无关的，开放平台api认证相关的授权场景。本文主要讲一下跟用户相关的授权模式之一password模式。回顾四种模式OAuth 2.0定义了四种授权...
No4.搭建基本的授权码模式请求token（一）：实现授权服务端的授权码模式操作
键上艺术家
10-08 2536
我们要做的是：一个第三方登录端，一个前后端分离的客户端；第三方登录端就相当于提供授权的开放平台，客户端就相当于使用开放平台的第三方应用； （只做前后端分离的后端部分） 前几篇文章我们只是使用OAuth2的密码模式，实现了一个微服务环境（还不算真正的微服务，就是实现不同服务之间的调用而已）下的sso单点登录，现在是要将这个sso单点登录系统作为一个开放平台，去开放授权码认证模式，让其他第三方应用可以通过它授权使用。
SpringCloud微服务实战——搭建企业级开发框架（二十六）：自定义扩展OAuth2实现短信验证码登录
全栈程序猿的专栏
10-23 628
  我们系统集成了短信通知服务，这里我们进行OAuth2的扩展，使系统支持短信验证码登录。 1、在gitegg-oauth中新增SmsCaptchaTokenGranter 自定义短信验证码令牌授权处理类 /** * 短信验证码模式 */ public class SmsCaptchaTokenGranter extends AbstractTokenGranter { private static final String GRANT_TYPE = "sms_captcha"; p
springsecurity oauth2认证详细流程
最新发布
05-12
Spring Security OAuth2 是一个基于 Spring Security 的 OAuth2 认证框架。下面是 Spring Security OAuth2 认证的详细流程： 1. 用户访问客户端应用程序，客户端应用程序将用户重定向到认证服务器。 2. 用户在认证...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值