OAuth 2.0（四）：手把手带你写代码接入 OAuth 2.0 授权服务

最新推荐文章于 2025-02-08 11:51:40 发布

橘长技术

最新推荐文章于 2025-02-08 11:51:40 发布

阅读量1.5k

点赞数 2

分类专栏： OAuth 2.0 授权协议文章标签： oauth2 java 后端

本文链接：https://blog.csdn.net/weixin_34975714/article/details/121411875

版权

本文介绍了如何手把手接入OAuth 2.0授权服务，包括第三方软件的静态注册、引导用户授权的过程，以及授权流程中的关键步骤。强调了服务端发起型授权的安全性和完备性，并提醒读者关注授权服务的官方文档，同时提供了实战经验分享。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

大家好，我是橘长，昨天分享了「令牌机制」，大家可以自行回顾一下 OAuth 2.0 的核心是什么，令牌机制是什么、如何使用、开源组件等。

今天我们开始落地写代码，基于橘长之前接入过农业银行的授权，今天首先作为第三方服务来和大家分享「 手把手接入 OAuth 2.0 授权服务」。

一、业务背景

近期团队帮银行做了一个互动营销活动，活动入口在行方的 App 上，当用户在行方 App 点击活动 banner 页跳转活动的时候参与。

在进活动之前作为业务方自然需要知道参与活动的人是谁，如何给它构建登录态。

这就是为什么橘长这边需要接入行方 OAuth 2.0 组件的原因，本质就是获取客户信息，回到活动业务形成登录态，进而可以参与活动。

使用的是 OAuth 2.0 中最完备的授权许可机制的这种接入方式，服务端发起型授权，为了方便展示，大部分采用了硬编码。

二、第三方软件需要做什么

1、静态注册

也可以称之为备案（注册信息），需要在行方的开放平台的管理态申请 OAuth 2.0 接入客户端，对于行方来说，确保第三方软件是可信的。

准备信息：第三方应用服务端 ip 地址、第三方应用回调通知地址、申请权限等。

String ip = "xxx.xx.xx.xx";
String callBackUrl = "https://xxx.xxx.xx/oauth/login/success";

等授权服务的后台人员处理之后会颁发相关配置，用来表示唯一标识第三方软件的相关配置。如下是一个简单示例模板：

String appid = "appid_001";
String appSecret = "appSecret_001";
String scope = "user_info";

2、引导用户授权

1）第一步：用户访问第三方软件，判断凭据

如果没有携带 JWT 或已过期，服务端响应 Http 状态码 401 给前端，前端会请求服务端的发起授权接口。

// 比方说访问活动首页接口
curl https://xxx.xx.xx/api/activity/act-01/index;

// 服务端响应 401
{
    "message": "用户会话已过期，请重新登录！",
    "statusCode": 401
}

2）第二步：客户端收到 401，请求授权接口

第三方软件后端会和授权服务交互，获取授权页地址，然后 302 跳转引导用户到授权页。

controller 层

@Slf4j
@RequestMapping("/oauth")
@RestController
public class OAuthController {

  @GetMapping("/login")
  public RedirectView login(final String redirect) {
      String sceneId = IdUtil.simpleUUID();
      JSONObject sceneInfo = JSONUtil.createObj().putOnce(OAuthConstant.REDIRECT_FOR_FRONT, redirect);
      // 缓存前端通知地址
      cache.set(OAuthConstant.KEY_PRE_OAUTH_SCENE + sceneId, sceneInfo, 300);
      
      String oauthUrl