Spring Authorization Server实战

wmxz5202024-07-21 13:41

Spring Authorization Server实战

Spring Authorizatin Server

Spring Authorizatin Server是一个框架，它提供了OAuth2.1和OpenID Connect 1.0规范以及其它相关规范的实现，它是基于Spring Security构建的

OAuth2.0协议介绍

OAuth是一个开放标准的授权协议，允许用户授权第三方应用访问其在某个服务提供者上的受保护资源，而无需将其实际的凭证（比如用户和密码）分享给第三方应用。

OAuth2.0协议的流程如下：

这个流程翻译后如下：

  1. 用户打开客户端后，客户端要求用户给与授权；
  2. 用户同意给客户端授权；
  3. 客户端使用上一步获得授权，向服务器申请令牌；
  4. 授权服务器对客户端认证后，向客户端发放令牌；
  5. 客户端使用令牌，向资源服务器申请获取资源；
  6. 资源服务器确认令牌有效后，向客户端开发资源；

授权流程案例

我们以阿里云盘使用支付宝授权登录来说明这个流程：

  1. 在阿里云盘登录界面，选择支付宝登录；

  2. 接着会跳转到支付宝授权的页面，让用户给阿里云盘授权获取用户在支付宝中的信息；

  3. 当用户点击同意后，会返回阿里云盘登录界面；

  4. 阿里云盘会使用获得的授权，向支付宝申请token，拿到token后，使用token去支付宝服务器获取用户信息；如果是第一次登录，会根据获取到的信息给用户创建一个阿里云盘的账号，并把支付宝上用户的信息和阿里云盘中创建的账号做一个映射，这样用户下次再登录，直接找到已有的账号登录即可；（这个步骤不需要用户做任何操作，只会在登录界面停留很短的时间，接着就跳转到阿里云盘主界面了）

OAuth2协议的应用场景

OAuth2协议的应用场景非常广泛，只要是涉及到第三方应用程序访问用户数据和资源的场景都可以使用

授权模式

OAuth2有四种授权模式，每种授权模式有不同的应用场景。四种模式如下：

  • 授权码模式：使用最为广泛的模式；比如上面的阿里云盘登录使用的就是授权码模式；
  • 密码模式（Password）：密码模式是一种安全级别较低且要求资源拥有者（用户）完全信任服务器的模式。在OAuth2.1中该模式已经被废除，在第三方平台上使用密码模式是一种非常不安全的行为，假设某平台支持QQ登录，如果用户直接使用QQ账号、密码登录，则该平台就获取了用户的QQ账号、密码；

密码模式的流程如下：

  • 客户端模式（Client Credentials Grant）：客户端模式是指客户端以自己的名义进行授权，而不经过用户授权。客户端模式是安全级别最低且要求授权服务器对客户端高度信任的模式。因为客户端向服务器请求认证授权的过程中没有用户的参与，客户端通过提供自己在授权服务器上的信息即可在授权服务器完成认证授权，而客户端获取授权后即可向服务器请求资源。这种模式一般用于对接接口，比如对接北森之类系统的接口；

客户端模式的流程如下：

  • 令牌刷新模式：如果令牌的有效期到了，如果让客户端重复之前的流程再去获取token，比较麻烦；OAuth2允许用户自动更新令牌。令牌刷新模式是对access_token过期的一种补办操作，OAuth2在给客户端颁发令牌的时候同时给客户端颁发了refresh_token，当access_token过期后，客户端拿refresh_token再去申请新的access_token即可

令牌刷新模式流程如下：

OAuth2.1协议

OAuth2.1协议主要是对OAuth2.0的改进，OAuth 2.1去掉了OAuth2.0中的密码模式、简化模式，增加了设备授权码模式，同时也对授权码模式增加了PKCE扩展。
点击查看OAuth2.1的内容

OpenID Connect 1.0协议

OpenID Connect 1.0 是 OAuth 2.0 协议之上的一个简单的身份层。其实就是客户端向认证服务器请求认证授权的时候，多返回一个 id_token，该 id_token 是一串使用 jwt 加密过的字符串。
OpenID Connect 1.0协议详细内容

OAuth实战

授权服务器

引入依赖

xml 复制代码 
    <properties>
        <java.version>17</java.version>
        <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
        <project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding>
        <spring-boot.version>3.1.4</spring-boot.version>
    </properties>
xml 复制代码 
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-oauth2-authorization-server</artifactId>
        </dependency>

相关配置

java 复制代码 
@Configuration
@EnableWebSecurity
public class SecurityConfig {


    /**
     *  Spring Authorization Server 相关配置
     *  主要配置OAuth 2.1和OpenID Connect 1.0
     */
    @Bean
    @Order(1)
    public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http)
            throws Exception {
        OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
        http.getConfigurer(OAuth2AuthorizationServerConfigurer.class)
                //开启OpenID Connect 1.0（其中oidc为OpenID Connect的缩写）
                .oidc(Customizer.withDefaults());
        http
                //将需要认证的请求，重定向到login进行登录认证。
                .exceptionHandling((exceptions) -> exceptions
                        .defaultAuthenticationEntryPointFor(
                                new LoginUrlAuthenticationEntryPoint("/login"),
                                new MediaTypeRequestMatcher(MediaType.TEXT_HTML)
                        )
                )
                // 使用jwt处理接收到的access token
                .oauth2ResourceServer((resourceServer) -> resourceServer
                        .jwt(Customizer.withDefaults()));

        return http.build();
    }

    /**
     *  Spring Security 过滤链配置（此处是纯Spring Security相关配置）
     */
    @Bean
    @Order(2)
    public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http)
            throws Exception {
        http
                .authorizeHttpRequests((authorize) -> authorize
                        //设置所有请求都需要认证，未认证的请求都被重定向到login页面进行登录
                        .anyRequest().authenticated()
                )
                // 由Spring Security过滤链中UsernamePasswordAuthenticationFilter过滤器拦截处理"login"页面提交的登录信息。
                .formLogin(Customizer.withDefaults());

        return http.build();
    }

    /**
     * 设置用户信息，校验用户名、密码
     */
    @Bean
    public UserDetailsService userDetailsService() {
        UserDetails userDetails = User.withDefaultPasswordEncoder()
                .username("test")
                .password("123456")
                .roles("USER")
                .build();
        //基于内存的用户数据校验
        return new InMemoryUserDetailsManager(userDetails);
    }

    /**
     * 注册客户端信息
     *
     * 查询认证服务器信息
     * http://127.0.0.1:9000/.well-known/openid-configuration
     *
     * 获取授权码
     * http://localhost:9000/oauth2/authorize?response_type=code&client_id=oidc-client&scope=profile openid&redirect_uri=http://www.baidu.com
     *
     */
    @Bean
    public RegisteredClientRepository registeredClientRepository() {
        RegisteredClient oidcClient = RegisteredClient.withId(UUID.randomUUID().toString())
                .clientId("oidc-client")
                //{noop}开头，表示"secret"以明文存储
                .clientSecret("{noop}secret")
           .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
                // 配置授权码模式,刷新令牌，客户端模式
                .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
                .authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN)
                .authorizationGrantType(AuthorizationGrantType.CLIENT_CREDENTIALS)
                //认证回调地址，接收认证服务器回传的code，需要和客户端配置的一致
                .redirectUri("http://spring-oauth-client:9001/login/oauth2/code/messaging-client-oidc")
                //没有客户端时使用
                .redirectUri("http://www.baidu.com")
                .postLogoutRedirectUri("http://127.0.0.1:8080/")
                .clientName("web-client")
                //设置客户端权限范围
                .scope(OidcScopes.OPENID)
                .scope(OidcScopes.PROFILE)
                //客户端设置用户需要确认授权
                .clientSettings(ClientSettings.builder().requireAuthorizationConsent(true).build())
                .build();

        //配置基于内存的客户端信息
        return new InMemoryRegisteredClientRepository(oidcClient);
    }

    /**
     * 配置 JWK，为JWT(id_token)提供加密密钥，用于加密/解密或签名/验签
     * JWK详细见：https://datatracker.ietf.org/doc/html/draft-ietf-jose-json-web-key-41
     */
    @Bean
    public JWKSource<SecurityContext> jwkSource() {
        KeyPair keyPair = generateRsaKey();
        RSAPublicKey publicKey = (RSAPublicKey) keyPair.getPublic();
        RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate();
        RSAKey rsaKey = new RSAKey.Builder(publicKey)
                .privateKey(privateKey)
                .keyID(UUID.randomUUID().toString())
                .build();
        JWKSet jwkSet = new JWKSet(rsaKey);
        return new ImmutableJWKSet<>(jwkSet);
    }

    /**
     *  生成RSA密钥对，给上面jwkSource() 方法的提供密钥对
     */
    private static KeyPair generateRsaKey() {
        KeyPair keyPair;
        try {
            KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
            keyPairGenerator.initialize(2048);
            keyPair = keyPairGenerator.generateKeyPair();
        }
        catch (Exception ex) {
            throw new IllegalStateException(ex);
        }
        return keyPair;
    }

    /**
     * 配置jwt解析器
     */
    @Bean
    public JwtDecoder jwtDecoder(JWKSource<SecurityContext> jwkSource) {
        return OAuth2AuthorizationServerConfiguration.jwtDecoder(jwkSource);
    }

    /**
     * 配置授权服务器请求地址
     */
    @Bean
    public AuthorizationServerSettings authorizationServerSettings() {
        //什么都不配置，则使用默认地址
        return AuthorizationServerSettings.builder().build();
    }
}

客户端

引入依赖

xml 复制代码 
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-oauth2-client</artifactId>
        </dependency>

yml文件配置

yml 复制代码 
logging:
  level:
    org.springframework.security: trace

spring:
  application:
    name: auth-client
  security:
    oauth2:
      client:
        provider:
          #认证服务器信息
          oauth-server:
            issuer-uri: http://spring-oauth-server:9000   #授权地址
            authorizationUri: ${spring.security.oauth2.client.provider.oauth-server.issuer-uri}/oauth2/authorize  #OAuth2认证服务器的授权端点地址
            tokenUri: ${spring.security.oauth2.client.provider.oauth-server.issuer-uri}/oauth2/token    #令牌获取地址
        registration:
          messaging-client-oidc:
            provider: oauth-server  #认证提供者，标识由哪个认证服务器进行认证，和上面的oauth-server进行关联
            client-name: web-client      #客户端名称
            client-id: oidc-client    #客户端id，从认证平台申请的客户端id
            client-secret: secret      #客户端秘钥
            client-authentication-method: client_secret_basic  #客户端认证方式，除了client_secret_basic还有client_secret_post、client_secret_jwt、private_key_jwt等
            authorization-grant-type: authorization_code     #使用授权码模式获取令牌（token）
            redirect-uri: http://spring-oauth-client:9001/login/oauth2/code/messaging-client-oidc   #回调地址，接收认证服务器回传code的接口地址
            scope:      #OAuth2客户端的权限范围
              - profile  #允许客户端获取用户的个人资料信息
              - openid   #penid 是一个特定的 scope 值，它用于 OpenID Connect 协议中。当客户端应用请求 openid 范围时，它表明应用想要验证用户的身份

资源服务器

引入依赖

xml 复制代码 
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
        </dependency>

配置

java 复制代码 
@Configuration
@EnableWebSecurity
@EnableMethodSecurity(jsr250Enabled = true, securedEnabled = true)
public class ResourceServerConfig {

    @Bean
    SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http.authorizeHttpRequests((authorizeHttpRequests) -> authorizeHttpRequests
                        //所有的访问都需要通过身份认证
                        .anyRequest().authenticated())
                .oauth2ResourceServer((oauth2ResourceServer) -> oauth2ResourceServer
                        .jwt(Customizer.withDefaults()));
        return http.build();
    }

}

配置文件

yml 复制代码 
server:
  port: 9002

logging:
  level:
    org.springframework.security: trace

spring:
  application:
    name: spring-oauth-resource
  security:
    oauth2:
      resource-server:
        jwt:
          issuer-uri: http://spring-oauth-server:9000

测试

直接访问资源服务器中的资源，不代码token

使用http://spring-oauth-client:9001/token地址，向客户端发起请求，获取token

携带token访问资源服务器上的资源

参考

  1. 理解OAuth 2.0
  2. OAuth 2.0
  3. Spring Authorization Server
相关推荐
一元咖啡19 分钟前
SpringCloud Gateway转发请求到同一个服务的不同端口
spring·spring cloud·gateway
儿时可乖了25 分钟前
使用 Java 操作 SQLite 数据库
java·数据库·sqlite
ruleslol27 分钟前
java基础概念37：正则表达式2-爬虫
java
Iced_Sheep35 分钟前
干掉 if else 之策略模式
后端·设计模式
xmh-sxh-131443 分钟前
jdk各个版本介绍
java
XINGTECODE1 小时前
海盗王集成网关和商城服务端功能golang版
开发语言·后端·golang
天天扭码1 小时前
五天SpringCloud计划——DAY2之单体架构和微服务架构的选择和转换原则
java·spring cloud·微服务·架构
程序猿进阶1 小时前
堆外内存泄露排查经历
java·jvm·后端·面试·性能优化·oom·内存泄露
热门推荐
01(欧拉)openEuler系统添加网卡文件配置流程、(欧拉)openEuler系统手动配置ipv6地址流程、(欧拉)openEuler系统网络管理说明02PyTorch机器学习实现液态神经网络03【HarmonyOS】HUAWEI DevEco Studio 下载地址汇总04玄机平台应急响应—webshell查杀05Coze扣子平台完整体验和实践（附国内和国际版对比）06Ubuntu 20.04使用Livox mid 360 测试 FAST_LIO07【目标跟踪】相机运动补偿08Unity中PICO实现 隔空取物 和 接触抓取物体09RAG 实践- Ollama+RagFlow 部署本地知识库10量化方法怎么选？如何评估量化后的大模型LLM？