spring security oauth2授权码模式

最新推荐文章于 2024-08-22 11:54:53 发布
最新推荐文章于 2024-08-22 11:54:53 发布
阅读量446 收藏 3
点赞数 2
分类专栏： spring security 文章标签： java spring
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xj_524256192/article/details/105961346
版权

spring security oauth2授权码模式

这里我使用的spring security版本为5.x，spring boot版本为2.x。
授权码模式是Oauth2协议最严格、流程最完整的授权模式，流程如下：
在这里插入图片描述

  • A.客户端将用户导向认证服务器
  • B.用户决定是否给客户端授权
  • C.用户同意给客户端授权，认证服务器将用户导向客户端提供的url地址，并返回授权码
  • D客户端通过重定向url和授权码想授权服务器申请令牌
  • E.认证服务器验证通过后返回令牌给客户端

在A步骤中，向认证服务器请求的url中，应包含以下参数：

  • response_type：表示授权类型，必选项，此处的值固定为code，标识授权码模式
  • client_id：表示客户端的ID，必选项
  • redirect_uri：表示重定向URI，可选项
  • scope：表示申请的权限范围，可选项
  • state：表示客户端的当前状态，可以指定任意值，认证服务器会原封不动地返回这个值。

认证服务器返回授权码后，在D步骤中想认证服务器申请令牌请求中，应包含以下参数：

  • grant_type：表示使用的授权模式，必选项，此处的值固定为authorization_code。
  • code：表示上一步获得的授权码，必选项。
  • redirect_uri：表示重定向URI，必选项，且必须与A步骤中的该参数值保持一致。
  • client_id：表示客户端ID，必选项。

介绍完认证流程，直接上代码
首先编写认证服务器代码，创建一个spring boot工程，我这里项目名叫做security-oauth2-server，端口为8085，添加依赖

<properties>
        <java.version>1.8</java.version>
        <spring-cloud.version>Finchley.SR2</spring-cloud.version>
    </properties>


    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter-oauth2</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.apache.commons</groupId>
            <artifactId>commons-lang3</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
            <exclusions>
                <exclusion>
                    <groupId>org.junit.vintage</groupId>
                    <artifactId>junit-vintage-engine</artifactId>
                </exclusion>
            </exclusions>
        </dependency>
    </dependencies>
    <dependencyManagement>
        <dependencies>
            <dependency>
                <groupId>org.springframework.cloud</groupId>
                <artifactId>spring-cloud-dependencies</artifactId>
                <version>${spring-cloud.version}</version>
                <type>pom</type>
                <scope>import</scope>
            </dependency>
        </dependencies>
    </dependencyManagement>
    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>

在启动类上添加@EnableAuthorizationServer注解开启认证服务。这里我模拟了从数据库获取用户信息，所以要实现UserDetailsService，它只有一个抽象方法loadUserByUsername,它返回的是一个UserDetails对象，它是一个接口，所以我自定义了一个SysUser对象实现了它，代码如下

public class SysUser implements UserDetails {

    private String username;

    private String password;
	
    private boolean accountNonExpired = true;//账户是否为过期

    private boolean accountNonLocked = true;//账号是否未锁定

    private boolean credentialsNonExpired = true;//凭证是否未过期，也是就是密码

    private boolean enabled = true;//账户是否可用

    public String getUsername() {
        return username;
    }

    public void setUsername(String username) {
        this.username = username;
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        GrantedAuthority authority = new SimpleGrantedAuthority("USER");
        ArrayList<GrantedAuthority> grantedAuthorities = new ArrayList<>();
        grantedAuthorities.add(authority);
        return grantedAuthorities;
    }

    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }

    public boolean isAccountNonExpired() {
        return accountNonExpired;
    }

    public void setAccountNonExpired(boolean accountNonExpired) {
        this.accountNonExpired = accountNonExpired;
    }

    public boolean isAccountNonLocked() {
        return accountNonLocked;
    }

    public void setAccountNonLocked(boolean accountNonLocked) {
        this.accountNonLocked = accountNonLocked;
    }

    public boolean isCredentialsNonExpired() {
        return credentialsNonExpired;
    }

    public void setCredentialsNonExpired(boolean credentialsNonExpired) {
        this.credentialsNonExpired = credentialsNonExpired;
    }

    public boolean isEnabled() {
        return enabled;
    }

    public void setEnabled(boolean enabled) {
        this.enabled = enabled;
    }
}

因为在返回的对象中，它的属性中所有boolean类型的值都要为true，并且权限集合不能为空，所以在这里我给它进行了初始化。然后是编写UserDetailsService的实现类UserService类，代码如下：

@Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        SysUser user = new SysUser();
        user.setUsername(username);
        user.setPassword(passwordEncoder.encode("root"));
        return user;
    }

登录的用户名可以是任意的，但是密码一定是root在这个版本里，用户密码默认是要加密，加密的工具类可以在启动类中注入，代码如下：

	@Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

编写spring security配置类

@Configuration //开启权限验证
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private UserDetailsService userDetailsService;

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService);
    }
}

编写认证服务配置类

@Configuration
public class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private UserDetailsService userDetailsService;

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Bean
    public TokenStore tokenStore(){
        return new InMemoryTokenStore();
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("xj-client")//客户端id
                .authorizedGrantTypes("authorization_code","refresh_token")//授权方式
                .scopes("all")//授权权限
                .secret(passwordEncoder.encode("xj-client"));//客户端密码，要加密
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security.checkTokenAccess("permitAll()")
                .checkTokenAccess("isAuthenticated()").allowFormAuthenticationForClients();
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints
                .authenticationManager(authenticationManager)
                .tokenStore(tokenStore())
                .userDetailsService(userDetailsService);
    }
}

认证服务器的代码到此就编写好了，然后就是编写资源服务器的代码。
创建一个spring boot工程，我这项目名叫security-resource-server，访问端口为8084添加依赖

    <properties>
        <java.version>1.8</java.version>
        <spring-cloud.version>Finchley.SR2</spring-cloud.version>
    </properties>

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter-oauth2</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.apache.commons</groupId>
            <artifactId>commons-lang3</artifactId>
        </dependency>
    </dependencies>

    <dependencyManagement>
        <dependencies>
            <dependency>
                <groupId>org.springframework.cloud</groupId>
                <artifactId>spring-cloud-dependencies</artifactId>
                <version>${spring-cloud.version}</version>
                <type>pom</type>
                <scope>import</scope>
            </dependency>
        </dependencies>
    </dependencyManagement>

在配置类上添加@EnableResourceServer开启资源服务，编写application.yml配置文件

auth-server-url: http://localhost:8085
server:
  port: 8084
security:
  oauth2:
    client:
      client-secret: xj-client
      client-id: xj-client
      scope: all
      access-token-uri: ${auth-server-url}/oauth/token #申请令牌地址
      user-authorization-uri: ${auth-server-url}/oauth/authorize #用户授权地址
    resource:
      token-info-uri: ${auth-server-url}/oauth/check_token #检查令牌

编写一个TestController用于测试

@RestController
public class TestController {

    private static final Logger LOGGER = LoggerFactory.getLogger(TestController.class);

    @GetMapping("index")
    public Object index(Authentication authentication){
        LOGGER.info("resource: user {}",authentication);
        return authentication;
    }
}

到此，代码就编写好了，可以测试一下。把两个项目都启动，先向授权服务器申请授权码，在浏览器地址栏输入http://localhost:8085/oauth/authorize?response_type=code&client_id=xj-client&redirect_uri=http://baidu.com
在这里插入图片描述
输入用户名密码登录，进入到授权页面
在这里插入图片描述
选择Approve，点击Authorize同意授权，页面会从定向到你提供的uri地址，并在后面附上授权码
在这里插入图片描述
然后就可以用这个授权码去授权令牌，打开postman，输入一下内容
在这里插入图片描述在这里插入图片描述
使用Basic Auth登录相当于在请求头中添加一个key为Authorization值为client_id:client_secret结果base64加密后的字符串，下面返回的access_token的值就是令牌，，现在可以使用这个令牌去资源服务器访问了
在这里插入图片描述
查看：完整代码

139余
关注
专栏目录
java 授权码模式_Spring Security OAuth2 授权码模式的实现
weixin_32452447的博客
03-02 1192
写在前边在文章OAuth 2.0 概念及授权流程梳理 中我们谈到OAuth 2.0的概念与流程，这里我准备分别记一记这几种授权模式的demo，一方面为自己的最近的学习做个总结，另一方面做下知识输出，如果文中有错误的地方，请评论指正，在此不胜感激受众前提阅读本文，默认读者已经过Spring Security有一定的了解，对OAuth2流程有一定了解本文目标带领读者对Spring Security O...
Spring Security Oauth2实践(1) - 授权码模式
奔跑的蜗牛
09-21 3931
笔者最近花了点时间研究Oauth2原理，基于spring写了一些demo用于实践探索，深深体会到Spring Security Oauth2框架的便利，框架帮我们封装太多了底层实现，所以使用起来非常方便，除了可以为第三方应用提供授权，也可以作为应用的登录框架。 文章基于Spring Security Oauth2.0授权码模式实践，采用SpringBoot搭建Demo讲述基本使用过程。 概述 ...
Spring Security OAuth2 授权码模式的实现
08-18
主要介绍了Spring Security OAuth2 授权码模式的实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
spring-security-oauth2授权码模式
u013008898的博客
05-22 753
完整pom <?xml version="1.0" encoding="UTF-8"?> <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/mav
Spring OAuth2授权服务配置示例
最新发布
onePlus5T的博客
08-22 1026
spring-security-oauth2-authorization-server的配置类示例详解
SpringSecurity（13）——OAuth2授权码模式
peng_gx的博客
01-24 1258
SpringSecurity OAuth2授权码模式使用
【OAuth2】Spring Security OAuth2 授权码模式
hkk666123的博客
05-06 1353
文章目录背景介绍扩展（1）`spring-security-oauth2`获取code的controller：（2）扩展的`userApprovalHandler`生效应用（1）获取code值（2）获取accessToken（有效期暂定72h）（3）获取refreshToken（4）访问资源（用户信息） 背景 由于业务实现中涉及到接入第三方系统（app接入有赞商城等），所以涉及到第三方系统需要获取用户信息（用户手机号、姓名等），为了保证用户信息的安全和接入方式的统一，采用Oauth2四种模式之一的授权码模式
SpringBoot Spring Security OAuth2 密码模式
csl12919的博客
11-28 1205
SpringBoot Spring Security OAuth2 授权码模式_没有计划。的博客-CSDN博客我们可以通过Spring Security OAuth2构建一个授权服务器来验证用户身份以提供access_token，并使用这个access_token来从资源服务器请求数据。：用户认证就是判断一个用户的身份是否合法的过程，用户去访问系统资源时系统要求验证用户的身份信息，身份合法方可继续访问，不合法则拒绝访问。常见的用户身份认证方式有：用户名密码登录，二维码登录，手机短信登录，指纹认证等方式。
Spring cloud Oauth2的密码模式数据库方式实现登录授权验证
12-09
综上所述，实现“Spring Cloud Oauth2的密码模式数据库方式实现登录授权验证”涉及多个步骤，包括设置Authorization Server和Resource Server，配置数据库，实现用户认证逻辑，以及处理令牌的生成与管理。...
Spring Security OAuth2 Demo —— 授权码模式 (Authorization Code)
CHIKA2333的博客
07-29 1639
redirectUris校验是否同一个客户端这个，可能说的不是很准确，说下大体流程，我们在授权服务器上配置了这个回调地址，授权服务器在用户授权成功后，返回授权码的地址就是它，另外我们后续申请token时，也需要传递这个回调地址，所以我的理解是校验是否是同一客户端发来的第二次请求（换token时）除了配置用户，我们需要对服务的资源进行保护，这里将所有的请求都要求通过认证才可以访问，用户登录需要使用httpBasic形式（就是那种网页弹个窗要求登录的那种😄）code=2e6450。
Spring Security Oauth2 之密码模式
Java知音
07-01 702
点击关注公众号，实用技术文章及时了解 作者：歪桃 blog.csdn.net/m0_37892044/article/details/113058924前言，因为最近的项目是用Spri...
spring-security-oauth2-authorization-server.zip
08-25
本文以最简配置搭建一个授权服务，让大家初步了解授权服务及相关表。 token 存于数据库中 例子基于Spring Boot 2.1.7.RELEASE ，使用mysql数据库
springboot-security-oauth2:SpringBoot集成Spring Security、OAuth2实现authorization code授权码模式
05-10
springboot-security-oauth2 此SpringBoot项目集成Spring Security、OAuth2实现资源访问授权认证。 支持client credentials、password、authorization code认证模式。 项目默认最为复杂的authorization code授权码认证模式，已经实现自定义登录页、授权页、错误页，以及第三方用户登录。 1.支持/oauth/authorize,/oauth/token,/oauth/refresh_token,/oauth/error； 2.用户认证的accessToken使用RedisTokenStore保存在Redis中（但是代码也已经支持JDBC持久化存储Token，目前处于注释状态）。 注：如果需要使用JDBCTokenStore可以使用一下SQL语句创建响应的数据表： USE `iot_boss
SpringBoot+SpringSecurity OAuth2 认证服务搭建实战 （六）OAuth2经典场景~授权码模式
06-25 1649
2024 最新 SpringSecurity OAuth2 授权码模式完成示例! JDK17spring-security-oauth2-authorization-server 1.3.0 以上spring-boot-starter-oauth2-client 3.3.0 以上Spring Boot 3.3.0 以上修改 C:\Windows\System32\drivers\etc\hosts文件。（如果授权服务器和客户端在不同的域名下，就不用修改了）
SpringSecurity(十五）---OAuth2的运行机制(上）-OAuth2概念和授权码模式讲解
学习不止境的博客
11-23 1463
这里将介绍如何实现OAuth2与SpringBoot和Spring Security的集成应用。
Spring Cloud Security Oauth2.0 授权码模式
Tellsea
06-16 2675
Spring Cloud Security Oauth2.0 Spring 提供的 Spring Security oAuth2 能搭建一套验证授权及资源访问服务，帮助大家在实现企业微服务架构时能够有效的控制多个服务的统一登录、授权及资源保护工作。 这里只是一个简单的案例基础，我自己是参照 千峰李哥的博客 上面的笔记来学习的，通过自己的整理与案例学习，综合出了一个自己风格的项目 李哥视频教程 Sp...
springsecurity+oauth2.0实现授权码模式
weixin_45457922的博客
01-25 2254
springsecurity+oauth2.0实现授权码模式 1.oauth2.0的简述 先说OAuth,OAuth是Open Authorization的简写。OAuth协议为用户资源的授权提供一个安全的，开放而又简易的标准。与以往的授权方式不同之处是OAuth的授权不会使第三方触及到用户的账号信息，即第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权，因此OAuth是安全的。 2.了解授权码模式 授权码（authorization code）方式，指的是第三方应用先申请一个授权码，然后再
spring-security-oauth2密码模式
u013008898的博客
06-12 1400
AuthorizationServerConfig： SecurityConfig：
Spring Security OAuth2授权流程详解
"spring-security-oauth2 是一个基于Spring Security的实现OAuth2协议的开源库，用于构建安全的、授权的服务端和客户端应用。这个库详细介绍了OAuth2的四种授权方式：AuthorizationCode，Implicit，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值