2. 程式人生 > >Spring Boot Security 整合 OAuth2 設計安全API接口服務

Spring Boot Security 整合 OAuth2 設計安全API接口服務

阿新 • • 發佈：2019-05-16
count extend 說明 3-9 服務 inno lang wired matches

簡介

OAuth是一個關於授權（authorization）的開放網絡標準，在全世界得到廣泛應用，目前的版本是2.0版。本文重點講解Spring Boot項目對OAuth2進行的實現，如果你對OAuth2不是很了解，你可以先理解 OAuth 2.0 - 阮一峰，這是一篇對於oauth2很好的科普文章。

OAuth2概述

oauth2根據使用場景不同，分成了4種模式

  • 授權碼模式（authorization code）
  • 簡化模式（implicit）
  • 密碼模式（resource owner password credentials）
  • 客戶端模式（client credentials）

在項目中我們通常使用授權碼模式，也是四種模式中最復雜的，通常網站中經常出現的微博，qq第三方登錄，都會采用這個形式。

Oauth2授權主要由兩部分組成：

  • Authorization server：認證服務
  • Resource server：資源服務

在實際項目中以上兩個服務可以在一個服務器上，也可以分開部署。下面結合spring boot來說明如何使用。

快速上手

之前的文章已經對 Spring Security 進行了講解，這一節對涉及到 Spring Security 的配置不詳細講解。若不了解 Spring Security 先移步到 Spring Boot Security 詳解。

建表

客戶端信息可以存儲在內存、redis和數據庫。在實際項目中通常使用redis和數據庫存儲。本文采用數據庫。Spring 0Auth2 己經設計好了數據庫的表，且不可變。表及字段說明參照：Oauth2數據庫表說明 。

創建0Auth2數據庫的腳本如下:

DROP TABLE IF EXISTS `clientdetails`;
DROP TABLE IF EXISTS `oauth_access_token`;
DROP TABLE IF EXISTS `oauth_approvals`;
DROP TABLE IF EXISTS `oauth_client_details`;
DROP TABLE IF EXISTS `oauth_client_token`;
DROP TABLE IF EXISTS `oauth_refresh_token`;

CREATE TABLE `clientdetails` (
  `appId` varchar(128) NOT NULL,
  `resourceIds` varchar(256) DEFAULT NULL,
  `appSecret` varchar(256) DEFAULT NULL,
  `scope` varchar(256) DEFAULT NULL,
  `grantTypes` varchar(256) DEFAULT NULL,
  `redirectUrl` varchar(256) DEFAULT NULL,
  `authorities` varchar(256) DEFAULT NULL,
  `access_token_validity` int(11) DEFAULT NULL,
  `refresh_token_validity` int(11) DEFAULT NULL,
  `additionalInformation` varchar(4096) DEFAULT NULL,
  `autoApproveScopes` varchar(256) DEFAULT NULL,
  PRIMARY KEY (`appId`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `oauth_access_token` (
  `token_id` varchar(256) DEFAULT NULL,
  `token` blob,
  `authentication_id` varchar(128) NOT NULL,
  `user_name` varchar(256) DEFAULT NULL,
  `client_id` varchar(256) DEFAULT NULL,
  `authentication` blob,
  `refresh_token` varchar(256) DEFAULT NULL,
  PRIMARY KEY (`authentication_id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `oauth_approvals` (
  `userId` varchar(256) DEFAULT NULL,
  `clientId` varchar(256) DEFAULT NULL,
  `scope` varchar(256) DEFAULT NULL,
  `status` varchar(10) DEFAULT NULL,
  `expiresAt` datetime DEFAULT NULL,
  `lastModifiedAt` datetime DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `oauth_client_details` (
  `client_id` varchar(128) NOT NULL,
  `resource_ids` varchar(256) DEFAULT NULL,
  `client_secret` varchar(256) DEFAULT NULL,
  `scope` varchar(256) DEFAULT NULL,
  `authorized_grant_types` varchar(256) DEFAULT NULL,
  `web_server_redirect_uri` varchar(256) DEFAULT NULL,
  `authorities` varchar(256) DEFAULT NULL,
  `access_token_validity` int(11) DEFAULT NULL,
  `refresh_token_validity` int(11) DEFAULT NULL,
  `additional_information` varchar(4096) DEFAULT NULL,
  `autoapprove` varchar(256) DEFAULT NULL,
  PRIMARY KEY (`client_id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `oauth_client_token` (
  `token_id` varchar(256) DEFAULT NULL,
  `token` blob,
  `authentication_id` varchar(128) NOT NULL,
  `user_name` varchar(256) DEFAULT NULL,
  `client_id` varchar(256) DEFAULT NULL,
  PRIMARY KEY (`authentication_id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

DROP TABLE IF EXISTS `oauth_code`;
CREATE TABLE `oauth_code` (
  `code` varchar(256) DEFAULT NULL,
  `authentication` blob
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

CREATE TABLE `oauth_refresh_token` (
  `token_id` varchar(256) DEFAULT NULL,
  `token` blob,
  `authentication` blob
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

為了測試方便，我們先插入一條客戶端信息。

INSERT INTO `oauth_client_details` VALUES (‘dev‘, ‘‘, ‘dev‘, ‘app‘, ‘password,client_credentials,authorization_code,refresh_token‘, ‘http://www.baidu.com‘, ‘‘, 3600, 3600, ‘{\"country\":\"CN\",\"country_code\":\"086\"}‘, ‘false‘);

用戶、權限、角色用到的表如下:

DROP TABLE IF EXISTS `user`;
DROP TABLE IF EXISTS `role`;
DROP TABLE IF EXISTS `user_role`;
DROP TABLE IF EXISTS `role_permission`;
DROP TABLE IF EXISTS `permission`;

CREATE TABLE `user` (
`id` bigint(11) NOT NULL AUTO_INCREMENT,
`username` varchar(255) NOT NULL,
`password` varchar(255) NOT NULL,
PRIMARY KEY (`id`) 
);
CREATE TABLE `role` (
`id` bigint(11) NOT NULL AUTO_INCREMENT,
`name` varchar(255) NOT NULL,
PRIMARY KEY (`id`) 
);
CREATE TABLE `user_role` (
`user_id` bigint(11) NOT NULL,
`role_id` bigint(11) NOT NULL
);
CREATE TABLE `role_permission` (
`role_id` bigint(11) NOT NULL,
`permission_id` bigint(11) NOT NULL
);
CREATE TABLE `permission` (
`id` bigint(11) NOT NULL AUTO_INCREMENT,
`url` varchar(255) NOT NULL,
`name` varchar(255) NOT NULL,
`description` varchar(255) NULL,
`pid` bigint(11) NOT NULL,
PRIMARY KEY (`id`) 
);

INSERT INTO user (id, username, password) VALUES (1,‘user‘,‘e10adc3949ba59abbe56e057f20f883e‘); 
INSERT INTO user (id, username , password) VALUES (2,‘admin‘,‘e10adc3949ba59abbe56e057f20f883e‘); 
INSERT INTO role (id, name) VALUES (1,‘USER‘);
INSERT INTO role (id, name) VALUES (2,‘ADMIN‘);
INSERT INTO permission (id, url, name, pid) VALUES (1,‘/**‘,‘‘,0);
INSERT INTO permission (id, url, name, pid) VALUES (2,‘/**‘,‘‘,0);
INSERT INTO user_role (user_id, role_id) VALUES (1, 1);
INSERT INTO user_role (user_id, role_id) VALUES (2, 2);
INSERT INTO role_permission (role_id, permission_id) VALUES (1, 1);
INSERT INTO role_permission (role_id, permission_id) VALUES (2, 2);

項目結構

resources
|____templates
| |____login.html
| |____application.yml
java
|____com
| |____gf
| | |____SpringbootSecurityApplication.java
| | |____config
| | | |____SecurityConfig.java
| | | |____MyFilterSecurityInterceptor.java
| | | |____MyInvocationSecurityMetadataSourceService.java
| | | |____ResourceServerConfig.java
| | | |____WebResponseExceptionTranslateConfig.java
| | | |____AuthorizationServerConfiguration.java
| | | |____MyAccessDecisionManager.java
| | |____entity
| | | |____User.java
| | | |____RolePermisson.java
| | | |____Role.java
| | |____mapper
| | | |____PermissionMapper.java
| | | |____UserMapper.java
| | | |____RoleMapper.java
| | |____controller
| | | |____HelloController.java
| | | |____MainController.java
| | |____service
| | | |____MyUserDetailsService.java

關鍵代碼

pom.xml

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-thymeleaf</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.security.oauth.boot</groupId>
    <artifactId>spring-security-oauth2-autoconfigure</artifactId>
    <version>2.1.3.RELEASE</version>
</dependency>

SecurityConfig

支持password模式要配置AuthenticationManager

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private MyUserDetailsService userService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {

        //校驗用戶
        auth.userDetailsService( userService ).passwordEncoder( new PasswordEncoder() {
            //對密碼進行加密
            @Override
            public String encode(CharSequence charSequence) {
                System.out.println(charSequence.toString());
                return DigestUtils.md5DigestAsHex(charSequence.toString().getBytes());
            }
            //對密碼進行判斷匹配
            @Override
            public boolean matches(CharSequence charSequence, String s) {
                String encode = DigestUtils.md5DigestAsHex(charSequence.toString().getBytes());
                boolean res = s.equals( encode );
                return res;
            }
        } );

    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable();
        http.requestMatchers()
                .antMatchers("/oauth/**","/login","/login-error")
                .and()
                .authorizeRequests()
                .antMatchers("/oauth/**").authenticated()
                .and()
                .formLogin().loginPage( "/login" ).failureUrl( "/login-error" );
    }

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception{
        return super.authenticationManager();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new PasswordEncoder() {
            @Override
            public String encode(CharSequence charSequence) {
                return charSequence.toString();
            }

            @Override
            public boolean matches(CharSequence charSequence, String s) {
                return Objects.equals(charSequence.toString(),s);
            }
        };
    }

}

AuthorizationServerConfiguration 認證服務器配置

/**
 * 認證服務器配置
 */
@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter {

    /**
     * 註入權限驗證控制器 來支持 password grant type
     */
    @Autowired
    private AuthenticationManager authenticationManager;

    /**
     * 註入userDetailsService，開啟refresh_token需要用到
     */
    @Autowired
    private MyUserDetailsService userDetailsService;

    /**
     * 數據源
     */
    @Autowired
    private DataSource dataSource;

    /**
     * 設置保存token的方式，一共有五種，這裏采用數據庫的方式
     */
    @Autowired
    private TokenStore tokenStore;

    @Autowired
    private WebResponseExceptionTranslator webResponseExceptionTranslator;

    @Bean
    public TokenStore tokenStore() {
        return new JdbcTokenStore( dataSource );
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        /**
         * 配置oauth2服務跨域
         */
        CorsConfigurationSource source = new CorsConfigurationSource() {
            @Override
            public CorsConfiguration getCorsConfiguration(HttpServletRequest request) {
                CorsConfiguration corsConfiguration = new CorsConfiguration();
                corsConfiguration.addAllowedHeader("*");
                corsConfiguration.addAllowedOrigin(request.getHeader( HttpHeaders.ORIGIN));
                corsConfiguration.addAllowedMethod("*");
                corsConfiguration.setAllowCredentials(true);
                corsConfiguration.setMaxAge(3600L);
                return corsConfiguration;
            }
        };

        security.tokenKeyAccess("permitAll()")
                .checkTokenAccess("permitAll()")
                .allowFormAuthenticationForClients()
                .addTokenEndpointAuthenticationFilter(new CorsFilter(source));
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.jdbc(dataSource);
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        //開啟密碼授權類型
        endpoints.authenticationManager(authenticationManager);
        //配置token存儲方式
        endpoints.tokenStore(tokenStore);
        //自定義登錄或者鑒權失敗時的返回信息
        endpoints.exceptionTranslator(webResponseExceptionTranslator);
        //要使用refresh_token的話，需要額外配置userDetailsService
        endpoints.userDetailsService( userDetailsService );

    }

}

ResourceServerConfig 資源服務器配置

/**
 * 資源提供端的配置
 */
@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    /**
     * 這裏設置需要token驗證的url
     * 這些url可以在WebSecurityConfigurerAdapter中排除掉，
     * 對於相同的url，如果二者都配置了驗證
     * 則優先進入ResourceServerConfigurerAdapter,進行token驗證。而不會進行
     * WebSecurityConfigurerAdapter 的 basic auth或表單認證。
     */
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.requestMatchers().antMatchers("/hi")
                .and()
                .authorizeRequests()
                .antMatchers("/hi").authenticated();
    }

}

關鍵代碼就是這些，其他類代碼參照後面提供的源碼地址。

驗證

密碼授權模式

[ 密碼模式需要參數：username , password , grant_type , client_id , client_secret ]

請求token

curl -X POST -d "username=admin&password=123456&grant_type=password&client_id=dev&client_secret=dev" http://localhost:8080/oauth/token

返回

{
    "access_token": "d94ec0aa-47ee-4578-b4a0-8cf47f0e8639",
    "token_type": "bearer",
    "refresh_token": "23503bc7-4494-4795-a047-98db75053374",
    "expires_in": 3475,
    "scope": "app"
}

不攜帶token訪問資源，

curl http://localhost:8080/hi\?name\=zhangsan

返回提示未授權

{
    "error": "unauthorized",
    "error_description": "Full authentication is required to access this resource"
}

攜帶token訪問資源

curl http://localhost:8080/hi\?name\=zhangsan\&access_token\=164471f7-6fc6-4890-b5d2-eb43bda3328a

返回正確

hi , zhangsan

刷新token

curl  -X POST -d ‘grant_type=refresh_token&refresh_token=23503bc7-4494-4795-a047-98db75053374&client_id=dev&client_secret=dev‘ http://localhost:8080/oauth/token

返回

{
    "access_token": "ef53eb01-eb9b-46d8-bd58-7a0f9f44e30b",
    "token_type": "bearer",
    "refresh_token": "23503bc7-4494-4795-a047-98db75053374",
    "expires_in": 3599,
    "scope": "app"
}

客戶端授權模式

[ 客戶端模式需要參數：grant_type , client_id , client_secret ]

請求token

curl -X POST -d "grant_type=client_credentials&client_id=dev&client_secret=dev" http://localhost:8080/oauth/token

返回

{
    "access_token": "a7be47b3-9dc8-473e-967a-c7267682dc66",
    "token_type": "bearer",
    "expires_in": 3564,
    "scope": "app"
}

授權碼模式

獲取code

瀏覽器中訪問如下地址：

http://localhost:8080/oauth/authorize?response_type=code&client_id=dev&redirect_uri=http://www.baidu.com

跳轉到登錄頁面，輸入賬號和密碼進行認證：

技術分享圖片

認證後會跳轉到授權確認頁面（oauth_client_details 表中 “autoapprove” 字段設置為true 時，不會出授權確認頁面）：

技術分享圖片

確認後，會跳轉到百度，並且地址欄中會帶上我們想得到的code參數：

技術分享圖片

通過code換token

curl -X POST -d "grant_type=authorization_code&code=qS03iu&client_id=dev&client_secret=dev&redirect_uri=http://www.baidu.com" http://localhost:8080/oauth/token

返回

{
    "access_token": "90a246fa-a9ee-4117-8401-ca9c869c5be9",
    "token_type": "bearer",
    "refresh_token": "23503bc7-4494-4795-a047-98db75053374",
    "expires_in": 3319,
    "scope": "app"
}

參考

https://segmentfault.com/a/1190000012260914

https://stackoverflow.com/questions/28537181/spring-security-oauth2-which-decides-security

源碼

https://github.com/gf-huanchupk/SpringBootLearning/tree/master/springboot-security-oauth2

歡迎關註我的公眾號《程序員果果》，關註有驚喜~~
技術分享圖片

Spring Boot Security 整合 OAuth2 設計安全API接口服務

相關推薦

Spring Boot Security 整合 OAuth2 設計安全API接口服務

count extend 說明 3-9 服務 inno lang wired matches 簡介 OAuth是一個關於授權（authorization）的開放網絡標準，在全世界得到廣泛應用，目前的版本是2.0版。本文重點講解Spring Boot項目對OAuth2進行的實

第十八章：SpringBoot專案中使用SpringSecurity整合OAuth2設計專案API安全介面服務

OAuth是一個關於授權的開放網路標準，在全世界得到的廣泛的應用，目前是2.0的版本。OAuth2在“客戶端”與“服務提供商”之間，設定了一個授權層(authorization layer)。“客戶端”不能直接登入“服務提供商”，只能登入授權層，以此將使用者與客

Spring Boot Security 整合 JWT 實現 無狀態的分布式API接口

forbidden 入門教程 eba ava dig arch sso 獲取 == 簡介 JSON Web Token（縮寫 JWT）是目前最流行的跨域認證解決方案。JSON Web Token 入門教程 - 阮一峰，這篇文章可以幫你了解JWT的概念。本文重點講解Sprin

使用Swoole 構建API接口服務

需要 case server lob 架構 回調 _id 動手 ive 網上類似的文章已經很多了，我也是剛入門。從頭開始學習。所以如果重復寫文章闡釋，反而會浪費時間，於是就自己動手構建了一個demo，使用swoole 的TCP 服務器接受TCP客戶端的發來的http請求，

php寫api接口服務端

api接口 php 有很多對於PHP的抱怨，甚至這些抱怨也出自很多聰明的人。當Jeff Atwood寫下對於PHP的另一篇 抱怨文章 之後，我思考了下PHP的好的方面。 這些抱怨最大的問題是他們出自很多仍在使用舊版本PHP的人。他們或許是不願意關心或許是不願意承認PHP不管在語言層面還是在社區層面都在

ASP.NET WebAPI構建API接口服務實戰演練

介紹 知識 man 格式 境界 屏幕 團隊 自己的 http 一、課程介紹 一、王小二和他領導的第一次故事 有一天王小二和往常一下去上早班，剛吃完早餐剛一打開電腦沒一會兒。王小二的領導宋大寶走到他的面前，我們現在的系統需要提供服務給其他內部業務系統，我看你平時喜歡研

Python Tornado搭建高並發Restful API接口服務

方法 進行 json 依賴 組織結構 連接 技術 strftime pass Tornado 和現在的主流 Web 服務器框架（包括大多數 Python 的框架）有著明顯的區別：它是非阻塞式服務器，而且速度相當快能實現高並發。得利於其 非阻塞的方式和對epoll的運用，To

java程式設計spring boot security oauth2 jwt完美整合例子

一、本文簡介 本文主要講解Java程式設計中spring boot框架+spring security框架+spring security oauth2框架整合的例子,並且oauth2整合使用jwt方式儲存 二、學習前提 首先是講解oauth2的基本說明: 推薦檢視:http://www.ruanyif

Spring boot+Security OAuth2 爬坑日記（2）授權碼模式（升級篇）

1. 開發環境和本專案用到的框架 接著上一篇Spring boot+Security OAuth2 爬坑日記（1）授權碼模式部落格中的內容，上篇介紹了基本的開發環境，系統以及jdk版本等，本篇再來詳細介紹下專案中用到的框架和相關類庫。 框架/類庫/資

Spring boot+Security OAuth2 爬坑日記（1）授權碼模式

OAuth2 OAuth 關於授權的開放網路標準，關於OAuth2的知識，參考OAuth2.0 和 理解OAuth 2.0-阮一峰 四種授權模式 授權碼模式 （功能最完整，流程最嚴密） 密碼模式 客戶端模式 簡化模式 授權碼模式

【Spring Boot】--整合Spring Security

目錄 1、建立工程 2、在pom.xml新增spring security的依賴 3、自定義使用者認證邏輯 4、關於使用者物件UserDetails 5、密碼加密解密PasswordEncoder 6、自定義登入介面 7、自定義登入介面 8、自定義處理成功 9

Spring boot+Security OAuth2 自定義登入和授權頁面

Spring boot+Security OAuth2 自定義登入和授權頁面   1. 依賴 <!---------thymeleaf 模板引擎--------> <dependency> <groupId>org.springfra

Spring Boot Security + MyBatis 實現登入的安全控制機制

篇幅有限,前端的頁面程式碼就不贅述了,直接分享後端邏輯程式碼: 1.Maven專案物件依賴檔案Pom.xml <project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.or

spring boot security oauth2 實現第三方登入

新增過濾器private Filter ssoFilter() { CompositeFilter filter = new CompositeFilter(); List<Filter> filters = new ArrayList<&g

spring security 整合 oauth2

前言 之前一篇部落格學過security的核心,這次整合一下oauth2,它也是市場上比較流行的介面驗證的一種方式了 引入pom 文中提及的整合oauth2的方式是建立在boot 的基礎上的.在引入的boot 和security的start之後,我們還需要引入oauth

在Spring Boot中整合Spring Security並自定義驗證程式碼

最終效果 1、實現頁面訪問許可權限制 2、使用者角色區分，並按照角色區分頁面許可權 3、實現在資料庫中儲存使用者資訊以及角色資訊 4、自定義驗證程式碼 效果如下： 1、免驗證頁面 2、登陸頁面 在使用者未登入時，訪問任意有

Spring boot+Security OAuth2 爬坑日記（4）自定義異常處理 上

為了方便與前端更好的互動，服務端要提供友好統一的資訊返回格式，（他好我也好 ->_-> ），Spring Security OAuth2 提供了自定義異常的入口；我們需要做的就是實現對應的介面，然後將實現的類配置到對應的入口即可。預設的資訊返回格式

spring boot security oauth2 jwt 服務端實現

最近在寫提供給第三方的登入和獲取資源，老大說要使用oauth2 協議，因此最近在啃這一塊。一下是個人的配置。 首先要理解什麼是OAUTH2協議。 以下是阮一峰大大的文章：http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.htm

Spring Boot Security OAuth2 實現支持JWT令牌的授權服務器

過程 exce set types vcg ont 根據 tde row 概要 之前的兩篇文章，講述了Spring Security 結合 OAuth2 、JWT 的使用，這一節要求對 OAuth2、JWT 有了解，若不清楚，先移步到下面兩篇提前了解下。 Spring Bo

Spring Boot：整合Spring Security

綜合概述 Spring Security 是 Spring 社群的一個頂級專案，也是 Spring Boot 官方推薦使用的安全框架。除了常規的認證（Authentication）和授權（Authorization）之外，Spring Security還提供了諸如ACLs，LDAP，JAAS，CAS等高階特