【Spring Security + OAuth2】OAuth2

已于 2024-05-22 17:10:14 修改
阅读量931 收藏 32
点赞数 12
分类专栏： Spring Security 文章标签： spring java 后端
于 2024-05-22 16:44:30 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43676950/article/details/139068200
版权

Spring Security + OAuth2

第一章 Spring Security 快速入门
第二章 Spring Security 自定义配置
第三章 Spring Security 前后端分离配置
第四章 Spring Security 身份认证
第五章 Spring Security 授权
第六章 OAuth2

文章目录

1、OAuth2简介

1.1、OAuth2是什么

“Auth”表示“授权”Authorization
"O"是Open的简称，表示“开放”
连在一起就表示“开发授权”,OAuth2是一种开放授权协议

在这里插入图片描述
在实际流程中，颁发Token前先要征询用户同意
在这里插入图片描述

1.2、OAuth2的角色

OAuth2.0 协议包含以下角色：

  1. 资源所有者（Resource Owner）：即用户，资源的拥有人，想要通过客户应用访问资源服务器上的资源。
  2. 客户应用（Client）: 通常一个Web或者无线应用，它需要访问用户的受保护资源
  3. 资源服务器：（Resource Server）：存储受保护资源的服务器或定义了可以访问到资源的API，接收并验证客户端的访问令牌，以决定是否授权访问资源。
  4. 授权服务器（Authorization Server）:负责验证资源所有者的身份并向客户端颁发访问令牌。
    在这里插入图片描述

1.3、OAuth2的使用场景

开放系统间授权

社交登录

在传统的身份验证中，用户需要提供用户名和密码，还有很多网站登录时，允许使用第三方网站的身份，这称为“第三方登录”。所谓第三方登录，实质就是OAuth授权。用户想要登录A网站，A网站让用户提供第三方网站的数据，证明自己的身份。获取第三方网站的身份数据，就需要OAuth授权。

开放API

例如云冲印服务的实现

现代微服务安全

微服务安全

在这里插入图片描述

企业内部应用认证授权

  • SSO：Single Sign On 单点登录
  • IAM：Identity and Access Management 身份识别与访问管理。

1.4、OAuth2的四种授权模式

阮一峰的网络日志-OAuth 2.0 的四种方式

  • 授权码
  • 隐藏式
  • 密码式
  • 客户端凭证

第一种方式：授权码

授权码（authorization code）,指的是第三方应用先申请一个授权码，然后再用该码获取令牌
这种方式是最常用，最复杂，也是最安全的，它适用于那些有后端的Web应用。授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄露。
在这里插入图片描述

第二种方式：隐藏式

隐藏式，有些web应用是纯前端应用，没有后端。这时就不能用上面的方式了，必须将令牌存在前端。
RFC 6749规定了这种方式，允许直接向前端颁发令牌。这种方式没有授权码这个中间步骤，所以称为隐藏式。
在这里插入图片描述

第三种方式：密码式

密码式（password）: 如果你高度信任某个应用，RFC 6749也允许用户名和密码，直接告诉该应用。该应用就使用你的密码，申请令牌。
这种方式需要用户给出自己的用户名/密码，显然风险很大，因此只适用于其他授权方式都无法采用的情况，而且必须是用户高度信任的应用。

在这里插入图片描述

第四种方式：凭证式

凭证式：适用于没有前端的命令行应用，即在命令行下请求令牌。
这种方式给出的令牌，是针对第三方应用的，而不是针对用户的，即有可能多个用户共享同一个令牌。（示意图和第二种相同）

2、Spring中的OAuth2

2.1、相关角色

回顾：OAuth 2中的角色

  • 资源所有者（Resource Owner）
  • 客户应用（Client）
  • 资源服务器（Resource Server）
  • 授权服务器（Authorization Server）

2.2、Spring 中的实现

Spring Security

  • 客户应用（OAuth2 Client）: OAuth2 客户端功能中包含OAuth2 Login
  • 资源服务器（OAuth2 Resource Server）

Spring

  • 授权服务器（Spring Authorization Server）: 它是在Spring Security 之上的一个单独的项目。

2.3、相关依赖

<!-- 资源服务器 -->
<dependency>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>
<!-- 客户应用 -->
<dependency>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>
<!-- 授权服务器 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-authorization-server</artifactId>
</dependency>

2.4、授权登录的实现思路

在这里插入图片描述

3、Github 社交登录案例

3.1、创建应用

注册客户应用
登录Github，在开发者设置中找到OAuth Apps，创建一个application,为客户应用创建访问Github的凭证：
在这里插入图片描述
在这里插入图片描述

输入如下信息，点击注册。
在这里插入图片描述
创建完成后，用记事本保存一下Client ID
然后需要创建一个Client secrets，同样用记事本保存一下Client secrets
在这里插入图片描述

3.2、创建测试项目

创建项目

官网例子
创建一个springboot项目oauth2-login-demo,创建时引入如下依赖

在这里插入图片描述

		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-oauth2-client</artifactId>
		</dependency>
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-security</artifactId>
		</dependency>
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-thymeleaf</artifactId>
		</dependency>
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-web</artifactId>
		</dependency>
		<dependency>
			<groupId>org.thymeleaf.extras</groupId>
			<artifactId>thymeleaf-extras-springsecurity6</artifactId>
		</dependency>

		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-test</artifactId>
			<scope>test</scope>
		</dependency>
		<dependency>
			<groupId>org.springframework.security</groupId>
			<artifactId>spring-security-test</artifactId>
			<scope>test</scope>
		</dependency>

配置application.yml

由官网例子可知Github授权服务的配置方式，按照该格式配置即可。
在这里插入图片描述
将记事本上保持的Client的id和secret写到yml。

spring:
  security:
    oauth2:
      client:
        registration:
          github:
            client-id: Ov23liHY95uZL4eT7WcQ
            client-secret: 805cee30396008806a1b63d35caaabed2c7a1eb2

编写代码

该节代码均来自官网例子

新建Controller

@Controller
public class OAuth2LoginController {

    @GetMapping("/")
    public String index(Model model, @RegisteredOAuth2AuthorizedClient OAuth2AuthorizedClient authorizedClient,
                        @AuthenticationPrincipal OAuth2User oauth2User) {
        model.addAttribute("userName", oauth2User.getName());
        model.addAttribute("clientName", authorizedClient.getClientRegistration().getClientName());
        model.addAttribute("userAttributes", oauth2User.getAttributes());
        return "index";
    }
}

新建Index
官网代码

<!DOCTYPE html>
<html xmlns="http://www.w3.org/1999/xhtml" xmlns:th="https://www.thymeleaf.org"
      xmlns:sec="https://www.thymeleaf.org/thymeleaf-extras-springsecurity5">
<head>
    <title>Spring Security - OAuth 2.0 Login</title>
    <meta charset="utf-8"/>
</head>
<body>
<div style="float: right" th:fragment="logout" sec:authorize="isAuthenticated()">
    <div style="float:left">
        <span style="font-weight:bold">User: </span><span sec:authentication="name"></span>
    </div>
    <div style="float:none">&nbsp;</div>
    <div style="float:right">
        <form action="#" th:action="@{/logout}" method="post">
            <input type="submit" value="Logout"/>
        </form>
    </div>
</div>
<h1>OAuth 2.0 Login with Spring Security</h1>
<div>
    You are successfully logged in <span style="font-weight:bold" th:text="${userName}"></span>
    via the OAuth 2.0 Client <span style="font-weight:bold" th:text="${clientName}"></span>
</div>
<div>&nbsp;</div>
<div>
    <span style="font-weight:bold">User Attributes:</span>
    <ul>
        <li th:each="userAttribute : ${userAttributes}">
            <span style="font-weight:bold" th:text="${userAttribute.key}"></span>: <span
                th:text="${userAttribute.value}"></span>
        </li>
    </ul>
</div>
</body>
</html>

启动项目

访问http://localhost:8080/login
在这里插入图片描述

点击Github。
在这里插入图片描述
在这里插入图片描述

4、案例分析

4.1、登录流程

  1. A网站让用户跳转到GitHub,并携带参数ClientID 以及 Redirection URI。
  2. GitHub要求用户登录，然后询问用户"A网站要求获取用户信息的权限，你是否同意？"
  3. 用户同意，GitHub就会重定向回A网站，同时发回一个授权码。
  4. A网站使用授权码，向GitHub 请求令牌。
  5. GitHub 返回令牌.
  6. A网站使用令牌，向GitHub 请求用户数据。
  7. GitHub返回用户数据
  8. A网站使用GitHub用户数据登录
    在这里插入图片描述

4.2、CommonOAuth2Provider

CommonOAuth2Provider是一个预定义的通用OAuth2Provider,为一些知名资源服务API提供商（如Google、GitHub、Facebook)预定义了一组默认的属性。
例如，授权URI、令牌URI和用户信息URI通常不经常变化。因此，提供默认值以减少所需的配置。
因此，当我们配置GitHub客户端时，只需要提供client-id和client-secret属性。

 GITHUB {
        public ClientRegistration.Builder getBuilder(String registrationId) {
            ClientRegistration.Builder builder = this.getBuilder(registrationId, ClientAuthenticationMethod.CLIENT_SECRET_BASIC, "{baseUrl}/{action}/oauth2/code/{registrationId}");
            builder.scope(new String[]{"read:user"});
            builder.authorizationUri("https://github.com/login/oauth/authorize");
            builder.tokenUri("https://github.com/login/oauth/access_token");
            builder.userInfoUri("https://api.github.com/user");
            builder.userNameAttributeName("id");
            builder.clientName("GitHub");
            return builder;
        }
    },
IT小学僧
关注
  • 12
    点赞
  • 踩
  • 32
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
Security+Oauth2权限认证(案例 源码)
2401_83817122的博客
04-02 246
其实关于Kafka，能问的问题实在是太多了，扒了几天，最终筛选出44问：基础篇17问、进阶篇15问、高级篇12问，个个直戳痛点，不知道如果你不着急看答案，又能答出几个呢？若是对Kafka的知识还回忆不起来，不妨先看我手绘的知识总结脑图（xmind不能上传，文章里用的是图片版）进行整体架构的梳理梳理了知识，刷完了面试，如若你还想进一步的深入学习解读kafka以及源码，那么接下来的这份《手写“kafka”》将会是个不错的选择。Kafka入门为什么选择KafkaKafka的安装、管理和配置。
Spring Boot 与Spring Security OAuth2：实现授权与认证
最新发布
阿里渣渣java研发组-群主
06-01 458
OAuth2是一种开放标准，用于授权第三方应用访问资源所有者的资源。它定义了一种授权流程，使得资源所有者可以授权客户端应用在不泄露凭证的情况下访问资源服务器上的资源。
security-oauth2（一）
qq_36200932的博客
04-25 439
前提：在security基础上，不会的可以参考我的另一篇文章 OAuth2 协议一共支持 4 种不同的授权模式： 授权码模式：常见的第三方平台登录功能基本都是使用这种模式。 简化模式：简化模式是不需要客户端服务器参与，直接在浏览器中向授权服务器申请令牌（token），一般如果网站是纯静态页面则可以采用这种方式。 密码模式：密码模式是用户把用户名密码直接告诉客户端，客户端使用说这些信息向授权服务器申请令牌（token）。这需要用户对客户端高度信任，例如客户端应用和服务提供商就是同一家公司，我们自己做前
微服务鉴权中心之SpringSecurity+oauth2
u010753376的专栏
12-30 406
3.实现密码校验接口PasswordEncoder。4.身份认证之UserDetailsService。2.WebSecurityConfig配置。
spring security + Oauth2密码模式授权：签发令牌、校验令牌、刷新令牌
学亮编程手记
08-03 424
密码模式（Resource Owner Password Credentials）与授权码模式的区别是申请令牌不再使用授权码，而是直接通过用户名和密码即可申请令牌。测试如下：grant_type：密码模式授权填写passwordusername：账号password：密码并且此链接需要使用 http Basic认证。上边参数使用x-www-form-urlencoded方式传输，使用postman测试如下：注意：当令牌没有过期时同一个用户再次申请令牌则不再颁发新令牌。
Spring Security与OAuth2的完美结合
m0_49151953的博客
04-13 1780
资源所有者是指拥有资源的人或实体，客户端是指需要访问资源的应用程序，授权服务器是指负责授权的服务器，资源服务器是指存储资源的服务器。Spring Security OAuth2模块提供了一系列的类和接口，用于实现OAuth2授权服务器和资源服务器。在上面的代码中，我们配置了OAuth2授权服务器的客户端信息存储在数据库中，使用了Spring Security的身份验证管理器和用户详细信息服务。在上面的代码中，我们配置了OAuth2资源服务器的安全性，只有经过身份验证的用户才能访问受保护的API。
springsecurity+oauth2+jwt实现单点登录demo
06-06
该资源是springsecurity+oauth2+jwt实现的单点登录demo，模式为授权码模式，实现自定义登录页面和自定义授权页面。应用数据存在内存中或者存在数据库中（附带数据库表结构），token存储分为数据库或者Redis。demo...
Spring Security+OAuth2 精讲，打造企业级认证与授权
10-12
Spring Security和OAuth2是两个非常关键的框架，它们分别处理身份验证（Authentication）和授权（Authorization）的问题。本课程"Spring Security+OAuth2 精讲，打造企业级认证与授权"深入浅出地讲解了这两个框架的...
Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权
04-22
4. **整合Spring Security与OAuth2**：在Spring Boot中，我们可以使用`spring-security-oauth2-autoconfigure`库来简化OAuth2的配置。通过设置`@EnableAuthorizationServer`和`@EnableResourceServer`注解，分别启动...
Spring Security+OAuth2 精讲，打造企业级认证与授权2022升级
10-25
Spring Security+OAuth2 精讲，打造企业级认证与授权（2022升级版） 1、企业级认证授权专项解决方案 系统解锁后端开发者必备的"安全"技能 2、主流安全框架核心一网打尽，只学实用的
springBoot+security+oauth2 资源和认证分离的密码模式
08-09
springBoot+security+oauth2 资源和认证分离的密码模式
基于oauth2+security实现的SSO单点登录案例
10-14
基于spring security oauth2 实现的SSO单点登录案例，本案例非常完整，值得用于参考学习spring+security+oauth2
Spring security + Oauth2认证解决方案：项目配置及测试
学亮编程手记
08-03 189
本项目采用 Spring security + Oauth2完成用户认证及用户授权，Spring security 是一个强大的和高度可定制的身份验证和访问控制框架，Spring security 框架集成了Oauth2协议，下图是项目认证架构图：1、用户请求认证服务完成认证。2、认证服务下发用户身份令牌，拥有身份令牌表示身份合法。3、用户携带令牌请求资源服务，请求资源服务必先经过网关。4、网关校验用户身份令牌的合法，不合法表示用户没有登录，如果合法则放行继续访问。
Spring Security之EnableGlobalMethodSecurity注解详解
Smiling Ron的博客
02-12 4000
@EnableGlobalMethodSecurity 详解 @EnableGlobalMethodSecurity(securedEnabled=true) 开启@Secured 注解过滤权限 例如：@Secured({“ROLE_EMP”})、@Secured({“ROLE_EMP”, “ROLE_ROOT”})、@Secured({“ROLE_ROOT”}) @EnableGlobalMet...
spring security 到 oauth2 学习
qq_45003354的博客
09-19 218
security学习
SpringSecurity+Oauth2.0实战教程
tttalk的博客
05-09 3926
文章目录一、概念介绍1.SpringCloudSecurity介绍2.Oauth2介绍二、实战应用 一、概念介绍 1.SpringCloudSecurity介绍 (1)Spring Cloud Security是基于spring security的安全工具包，在分布式项目中为你的应用程序添加安全控制。 主要功能包括单点登录，令牌中继和令牌交换等。 (2)SpringSecurity是基于 Spring 框架，提供了一套 Web 应用安全性的完整解决方案。 核心功能主要包括：认证 、授权 、攻击防护等。 其核
基于security+oauth2权限模块搭建总结
旅人的博客
03-16 1127
说明： 本系统采用security+oauth2作为安全框架主要完成了登陆认证丶权限分配丶url的拦截。 一丶oauth2登陆及请求说明 系统测试登陆账号：admin 系统测试登陆密码：12345 登陆url: http://localhost:8120/oauth/token 指定参数： username, password, grant_type, scope, client_id, clie...
SpringSecurity和OAuth2认证授权流程
michael_linux的博客，一个小小小学生。滴水穿石，步步为营，只为那刹那芳华。
04-24 2711
1、SpringSecurity认证授权流程 1.1、SpringSecurity认证流程 1.2、SpringSecurity授权流程 2、SpringSecurityOAuth2认证授权流程 2.1、SpringSecurityOAuth2认证流程 2.2、刷新token（refresh_token）的流程 2.3、SpringSecurityOAuth2授权流程
spring security + oauth2
09-26
Spring Security OAuth2是一个用于实现授权和认证的开源框架。它基于Spring Security，提供了OAuth2协议的实现，可以用于构建安全的、可扩展的认证和授权服务。通过使用Spring Security OAuth2，开发人员可以轻松地实现各种OAuth2的授权模式，如授权码模式、密码模式、＊＊＊ OAuth2主要包含以下组件： 1. 授权服务器（Authorization Server）：负责颁发访问令牌和刷新令牌，验证客户端的身份，以及对用户进行认证和授权。 2. 资源服务器（Resource Server）：通过验证访问令牌来保护和提供受保护的资源。 3. 客户端（Client）：代表用户向授权服务器请求访问令牌，并使用访问令牌访问受保护的资源。 4. 用户（User）：需要通过授权服务器进行身份验证和授权的用户。 关于Spring Security OAuth2的密码模式实现，你可以参考DingChuanV的GitHub项目《Oauth_password_demo》。这个项目展示了如何使用Spring Security OAuth2实现密码模式的认证和授权。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值