微服务接入oauth2_构建微服务-使用OAuth 2.0保护API接口

在本文中，我们将使用OAuth 2.0，创建一个的安全API，可供外部访问Part 1和Part 2完成的微服务。

我们将创建一个新的微服务，命名为product-api，作为一个外部API(OAuth 术语为资源服务器-Resource Server)，并通过之前介绍过的Edge Server暴露为微服务，作为Token Relay，也就是转发Client端的OAuth访问令牌到资源服务器(Resource Server)。另外添加OAuth Authorization Server和一个OAuth Client，也就是服务消费方。

继续完善Part 2的系统全貌图，添加新的OAuth组件(标识为红色框)：

我们将演示Client端如何使用4种标准的授权流程，从授权服务器(Authorization Server)获取访问令牌(Access Token)，接着使用访问令牌对资源服务器发起安全访问，如API。

备注：

1/ 保护外部API并不是微服务的特殊需求，因此本文适用于任何使用OAuth 2.0保护外部API的架构；

2/ 我们使用的轻量级OAuth授权系统仅适用于开发和测试环境。在实际应用中，需要替换为一个API平台，或者委托给社交网络Facebook或Twitter的登录、授权流程。

3/ 为了降低复杂度，我们特意采用了HTTP协议。在实际的应用中，OAuth通信需要使用TLS，如HTTPS保护通信数据。

4/ 在前面的文章中，我们为了强调微服务和单体应用的差异性，每一个微服务单独运行在独立的进程中。

1. 编译源码

和在Part 2中一样，我们使用Java SE 8、Git和Gradle访问源代码，并进行编译：

git clone https://github.com/callistaenterprise/blog-microservices.git

cd blog-microservices

git checkout -b B3 M3.1

./build-all.sh

如果运行在Windows平台，则执行相应的bat文件-build-all.bat。

在Part 2的基础中，新增了2个组件源码，分别为OAuth Authorization Server，项目名为auth-server；另一个为OAuth Resource Server，项目名为product-api-service。

编译输出10条log消息：

BUILD SUCCESSFUL

2. 分析源代码

查看2个新组件是如何实现的，以及Edge Server是如何更新并支持传递OAuth访问令牌的。我们也会修改API的URL，以便于使用。

2.1 Gradle依赖

为了使用OAuth 2.0，我们将引入开源项目：spring-cloud-security和spring-security-oauth2，添加如下依赖。

auth-server项目：

compile("org.springframework.boot:spring-boot-starter-security")

compile("org.springframework.security.oauth:spring-security-oauth2:2.0.6.RELEASE")

完整代码，可查看auth-server/build.gradle文件。

product-api-service项目：

compile("org.springframework.cloud:spring-cloud-starter-security:1.0.0.RELEASE")

compile("org.springframework.security.oauth:spring-security-oauth2:2.0.6.RELEASE")

完整代码，可以查看product-api-service/build.gradle文件。

2.2 AUTH-SERVER

授权服务器(Authorization Server)的实现比较简单直接。可直接使用@EnableAuthorizationServer标注。接着使用一个配置类注册已批准的Client端应用，指定client-id、client-secret、以及允许的授予流程和范围：

@EnableAuthorizationServer

protected static class OAuth2Config extends AuthorizationServerConfigurerAdapter {