java不同项目加token访问_Spring Cloud OAuth 微服务内部Token传递的源码实现解析

Spring Cloud OAuth 微服务内部Token传递的源码实现解析

Java高级互联网架构 2019-04-17 16:19:24

背景分析

5d3b74dcdb8065e1e86dbbde33f3dcb7.png
  • 1.客户端携带认证中心发放的token,请求资源服务器A(Spring Security OAuth 发放Token 源码解析)
  • 2.客户端携带令牌直接访问资源服务器,资源服务器通过对token 的校验 (Spring Cloud OAuth2 资源服务器CheckToken 源码解析 ) 判断用户的合法性,并保存到上下文中
  • 3.A服务接口接收到请求,需要通过Feign或者其他RPC框架调用B服务来组装返回数据

本文主要来探讨第三部 A --> B ,token 自定维护的源码实现
如何实现token 传递配置OAuth2FeignRequestInterceptor 即可

  • 此类是Feign 的拦截器实现

8d010f1ba7a8b64c71a7ca1c39de42a7.png


@Bean
@ConditionalOnProperty("security.oauth2.client.client-id")
public RequestInterceptor oauth2FeignRequestInterceptor(OAuth2ClientContext oAuth2ClientContext,
OAuth2ProtectedResourceDetails resource,) {
return new OAuth2FeignRequestInterceptor(oAuth2ClientContext, resource);
}
源码解析

  • 获取上下文中的token ,组装到请求头

public class OAuth2FeignRequestInterceptor implements RequestInterceptor {
// 给请求增加 token
@Override
public void apply(RequestTemplate template) {
template.header(header, extract(tokenType));
}
protected String extract(String tokenType) {
OAuth2AccessToken accessToken = getToken();
return String.format("%s %s", tokenType, accessToken.getValue());
}
// 从spring security 上下文中获取token
public OAuth2AccessToken getToken() {
OAuth2AccessToken accessToken = oAuth2ClientContext.getAccessToken();
if (accessToken == null || accessToken.isExpired()) {
try {
accessToken = acquireAccessToken();
}
}
return accessToken;
}
}

  • 再来看AccessTokenContextRelay, 上下文token 中转器.非常简单从上下文获取认证信息得到把 token 放到上下文

public class AccessTokenContextRelay {
private OAuth2ClientContext context;
public AccessTokenContextRelay(OAuth2ClientContext context) {
this.context = context;
}
public boolean copyToken() {
if (context.getAccessToken() == null) {
Authentication authentication = SecurityContextHolder.getContext()
.getAuthentication();
if (authentication != null) {
Object details = authentication.getDetails();
if (details instanceof OAuth2AuthenticationDetails) {
OAuth2AuthenticationDetails holder = (OAuth2AuthenticationDetails) details;
String token = holder.getTokenValue();
DefaultOAuth2AccessToken accessToken = new DefaultOAuth2AccessToken(
token);
String tokenType = holder.getTokenType();
if (tokenType != null) {
accessToken.setTokenType(tokenType);
}
context.setAccessToken(accessToken);
return true;
}
}
}
return false;
}
}

  • 什么时候执行中转,oauth2 资源服务器非常简单暴力,加了个拦截器给转发。

b386002830dafe341f5ffc42be588f56.png


源码非常简单
谈谈spring security oauth 实现的问题

  1. 当请求上线文没有Token,如果调用feign 会直接,这个OAuth2FeignRequestInterceptor 肯定会报错,因为上下文copy 失败
  2. 如果设置线程隔离,这里也会报错。导致安全上下问题传递不到子线程中。
  3. 强制使用拦截器去处理 token 转发到这里上下文,使用的业务场景只有这里,影响性能高

这三个问题,大家在使用的过程中一定会遇到
自定义OAuth2FeignRequestInterceptor

  • 通过外部条件是否执行token中转

public void apply(RequestTemplate template) {
Collection<String> fromHeader = template.headers().get(SecurityConstants.FROM);
if (CollUtil.isNotEmpty(fromHeader) && fromHeader.contains(SecurityConstants.FROM_IN)) {
return;
}
accessTokenContextRelay.copyToken();
if (oAuth2ClientContext != null
&& oAuth2ClientContext.getAccessToken() != null) {
super.apply(template);
}
}

  • 手动调用accessTokenContextRelay的copy,当然需要覆盖原生oauth 客户端的配置

08d5f63835f4c60f2ea5c4ac6a4a59fe.png
  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Spring Cloud 中使用 OAuth 2.0 进行 Token 认证的步骤如下: 1. 引入依赖:在项目的 `pom.xml` 文件中添相应的依赖,包括 Spring Security OAuth2、Spring Web 等。 2. 配置认证服务器:创建一个认证服务器来颁发和验证访问令牌(Access Token)。可以使用 Spring Security OAuth2 提供的 `AuthorizationServerConfigurerAdapter` 类来配置认证服务器。 3. 配置资源服务器:创建一个资源服务器来保护你的资源,只有携带有效的访问令牌才能访问。可以使用 Spring Security OAuth2 提供的 `ResourceServerConfigurerAdapter` 类来配置资源服务器。 4. 定义用户信息服务:实现 `UserDetailsService` 接口来载用户信息,包括用户名、密码和权限等。 5. 配置安全规则:在资源服务器中配置安全规则,定义哪些请求需要进行认证和授权。 6. 客户端注册:在认证服务器中注册客户端信息,包括客户端 ID、密钥和授权类型等。 7. 获取访问令牌:客户端可以通过认证服务器的授权端点进行授权,获取访问令牌。 8. 使用访问令牌:在请求资源服务器的受保护资源时,需要将访问令牌作为身份凭证传递给资源服务器。 这只是 OAuth 2.0 认证流程的基本步骤,具体的实现会因为使用的框架和需求而有所差异。你可以参考 Spring Security OAuth2 的官方文档和示例代码来了解更多详细信息。 另外,Spring Cloud 还提供了一些高级工具和组件,如 Spring Cloud Security、Spring Cloud OAuth2 Client 等,可以进一步简化和集成 OAuth 2.0 认证流程。你可以根据具体需求选择合适的组件来使用。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值