登录 注册

Spring Security Aauth2.0 实现

本贴最后更新于 2106 天前，其中的信息可能已经物是人非

原文地址：https://www.cnblogs.com/0201zcr/p/5328847.html
oauth 应该属于 security 的一部分。关于 oauth 的的相关知识可以查看阮一峰的文章：http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html

一、目标

　　现在很多系统都支持第三方账号密码等登陆我们自己的系统，例如：我们经常会看到，一些系统使用微信账号，微博账号、QQ 账号等登陆自己的系统，我们现在就是要模拟这种登陆的方式，很多大的公司已经实现了这种授权登陆的方式，并提供了相应的 API，供我们开发人员调用。他们实际上用的也规范是 oauth2.0 的规范，通过用户授权的方式，获取一些信息。以前就做过一些类似的，如：

微信扫码登陆：http://www.cnblogs.com/0201zcr/p/5133062.html

微信客户端授权登陆：http://www.cnblogs.com/0201zcr/p/5131602.html　　

　　但是假如你的系统要提供其他网站使用你的账号密码登陆，你就需要写好相应的接口规范， 给人家调用。用得比较多的是使用 spring security oauth 实现的方式。

我们这里使用 meaven 导入我们所需要的 jar 包，使用配置文件的方式拦截我们的请求并进行验证是否有效，然后即可获取我们需要的信息。

这里主要是模拟了通过给予第三方账号密码的方式，在第三方进行鉴权，然后将 access_token 等信息传回过来，然后要登录的系统在通过这个返回的 access_token 去第三方请求一些用户授权的数据。即可完成第三方的账号密码登录。

二、Spring security oauth 相关依赖 meaven 配置

4.0.0 org.zhangfc demo4ssh-security-oauth2 war 0.0.1-SNAPSHOT 
<properties>
    <spring.version>4.0.4.RELEASE </spring.version>
    <hibernate.version>4.3.5.Final </hibernate.version>
    <spring-security.version>3.2.4.RELEASE </spring-security.version>
    <spring-security-oauth2.version>2.0.2.RELEASE </spring-security-oauth2.version>
 </properties>

<dependencies>
    <dependency>
        <groupId>org.springframework </groupId>
        <artifactId>spring-webmvc </artifactId>
        <version>${spring.version} </version>
     </dependency>
    <dependency>
        <groupId>org.springframework </groupId>
        <artifactId>spring-orm </artifactId>
        <version>${spring.version} </version>
     </dependency>
    <dependency>
        <groupId>org.springframework.security </groupId>
        <artifactId>spring-security-config </artifactId>
        <version>${spring-security.version} </version>
     </dependency>
    <dependency>
        <groupId>org.springframework.security </groupId>
        <artifactId>spring-security-taglibs </artifactId>
        <version>${spring-security.version} </version>
     </dependency>
    <dependency>
        <groupId>org.springframework.security.oauth </groupId>
        <artifactId>spring-security-oauth2 </artifactId>
        <version>${spring-security-oauth2.version} </version>
    </dependency>
    <dependency>
       <groupId>org.hibernate </groupId>
       <artifactId>hibernate-core </artifactId>
       <version>${hibernate.version} </version>
     </dependency>
    <dependency>
        <groupId>javax.servlet.jsp.jstl </groupId>
        <artifactId>javax.servlet.jsp.jstl-api </artifactId>
        <version>1.2.1 </version>
     </dependency>
    <dependency>
        <groupId>taglibs </groupId>
        <artifactId>standard </artifactId>
        <version>1.1.2 </version>
     </dependency>
    <dependency>
        <groupId>tomcat </groupId>
        <artifactId>servlet-api </artifactId>
        <version>5.5.23 </version>
        <scope>provided </scope>
     </dependency>
    <dependency>
        <groupId>tomcat </groupId>
        <artifactId>jsp-api </artifactId>
        <version>5.5.23 </version>
        <scope>provided </scope>
     </dependency>
    <dependency>
        <groupId>commons-fileupload </groupId>
        <artifactId>commons-fileupload </artifactId>
        <version>1.3.1 </version>
     </dependency>
    <dependency>
        <groupId>org.hibernate </groupId>
        <artifactId>hibernate-validator </artifactId>
        <version>5.1.2.Final </version>
     </dependency>
    <dependency>
        <groupId>c3p0 </groupId>
        <artifactId>c3p0 </artifactId>
        <version>0.9.1.2 </version>
    </dependency>
    <dependency>
        <groupId>mysql </groupId>
        <artifactId>mysql-connector-java </artifactId>
        <version>5.1.31 </version>
     </dependency>
    <dependency>
        <groupId>org.codehaus.jackson </groupId>
        <artifactId>jackson-mapper-asl </artifactId>
        <version>1.9.13 </version>
     </dependency>
 </dependencies>

<build>
    <finalName>demo4ssh-security-oauth2 </finalName>
 </build>

三、web.xml 文件配置

xml version="1.0" encoding="UTF-8"?>

<context-param>
    <param-name>contextConfigLocation </param-name>
    <param-value> classpath:/META-INF/infrastructure.xml,classpath*:/META-INF/applicationContext*.xml </param-value>
 </context-param>

<listener>    <listener-class>org.springframework.web.context.ContextLoaderListener </listener-class>
 </listener>

<servlet>
    <servlet-name>spring-dispatcher </servlet-name>
    <servlet-class>org.springframework.web.servlet.Dispatcher </Servletservlet-class>
 </servlet>
<servlet-mapping>
    <servlet-name>spring-dispatcher </servlet-name>
    <url-pattern>/ </url-pattern>
 </servlet-mapping>

<filter>
    <filter-name>springSecurityFilterChain </filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy </filter-class>
 </filter>
<filter-mapping>
    <filter-name>springSecurityFilterChain </filter-name>
    <url-pattern>/* </url-pattern>
 </filter-mapping>

四、applicationContext-security.xml

　　oauth2 是 security 的一部分，配置也有关联，就不再单建文件

　　添加 http 拦截链

<!-- /oauth/token 是oauth2登陆验证请求的url 用于获取access_token ,默认的生存时间是43200秒，即12小时 -->
<http pattern="/oauth/**" auto-config="true" use-expressions="true"
	authentication-manager-ref="oauth2AuthenticationManager">
	<!-- 可以访问的角色名称，如果需要拦截，需要实现UserDetails接口，实现getAuthorities（）方法 -->
	<anonymous enabled="false" />
	<csrf disabled="true" />
	<http-basic entry-point-ref="oauth2AuthenticationEntryPoint" />
	<custom-filter ref="clientCredentialsTokenEndpointFilter" before="BASIC_AUTH_FILTER" />
	<access-denied-handler ref="oauth2AccessDeniedHandler" />
</http>

　　这个标签处理/oauth/token 的网络请求，这是 oauth2 的登录验证请求，那么登录需要什么，首先，和 Spring Security 一样，需要一个认证管理器，Spring Oauth2 需要两个认证管理器，第一个就是之前 Spring 中配置的那一个，用来验证用户名密码的，

<authentication-manager>
    <authentication-provider>
        
        <jdbc-user-service data-source-ref="dataSource" users-by-username-query="select username, password, 1 from user where username = ?" authorities-by-username-query="select u.username, r.role from user u left join role r on u.role_id=r.id where username = ?" />
     </authentication-provider>
 </authentication-manager>

　　还有一个是用来区分客户端用户的，给它起个名字叫 oauth2AuthenticationManager：

<oauth2:client-details-service id="clientDetailsService" >
<oauth2:client client-id="mobile_1" authorized-grant-types="password,authorization_code,refresh_token,implicit" secret="secret_1" scope="read,write,trust" />
/oauth2:client-details-service
<beans:bean id="oauth2ClientDetailsUserService" class="org.springframework.security.oauth2.provider.client.ClientDetailsUserDetailsService">
<beans:constructor-arg ref="clientDetailsService" />
/beans:bean


　　这儿设置了一种客户端，id 叫做 mobile_1，secret 叫做 secret_1，针对 read、write 和 trust 几个域有效。这几个域会在访问控制中被用到。

　　当登录成功之后会得到一个 token，再次访问的时候需要携带这个 token，spring-oauth2 根据这个 token 来做认证，那么 spring-oauth2 必须先存一份 token 和用户关系的对应，因为不用 session 了，这就相当于 session，那么这个 token 在服务器中怎么存，有两种主要的存储方式，一是创建数据表，把 token 存到数据库里，我现在追求简单可用，采用第二种方式，直接存到内存里。下面配置一个管理 token 的 service：

<beans:bean id="tokenStore" class="org.springframework.security.oauth2.provider.token.store.InMemoryTokenStore" />
     
<beans:bean id="tokenServices" class="org.zhangfc.demo4ssh.service.MyTokenService">

　　下面配置 4 个基本的 bean：分别处理访问成功、访问拒绝、认证点和访问控制：

<beans:bean id="oauth2AuthenticationEntryPoint" class="org.springframework.security.oauth2.provider.error.OAuth2AuthenticationEntryPoint" />

<beans:bean id="oauth2AccessDeniedHandler" class="org.springframework.security.oauth2.provider.error.OAuth2AccessDeniedHandler" />

<beans:bean id="oauthUserApprovalHandler" class="org.springframework.security.oauth2.provider.approval.DefaultUserApprovalHandler" />

<beans:bean id="oauth2AccessDecisionManager" class="org.springframework.security.access.vote.UnanimousBased">
    <beans:constructor-arg>
        <beans:list>
            <beans:bean class="org.springframework.security.oauth2.provider.vote.ScopeVoter" />
            <beans:bean class="org.springframework.security.access.vote.RoleVoter" />
            <beans:bean class="org.springframework.security.access.vote.AuthenticatedVoter" />
         </beans:list>
     </beans:constructor-arg>
 </beans:bean>

　　配置这个 oauth2 的 server 所能支持的请求类型：

<oauth2:authorization-server client-details-service-ref="clientDetailsService" token-services-ref="tokenServices" user-approval-handler-ref="oauthUserApprovalHandler">
    <oauth2:authorization-code />
    <oauth2:implicit />
    <oauth2:refresh-token />
    <oauth2:client-credentials />
    <oauth2:password />
 </oauth2:authorization-server>

　　我们的请求里，要把验证类型、用户名密码都作为表单参数提交，这就需要配置下面的 filter：

<beans:bean id="clientCredentialsTokenEndpointFilter" class="org.springframework.security.oauth2.provider.client.ClientCredentialsTokenEndpointFilter">
    <beans:property name="authenticationManager" ref="oauth2AuthenticationManager" />
 </beans:bean>

　　下面定义一种资源，指定 spring 要保护的资源，如果没有这个，访问控制的时候会说没有 Authentication object：

<oauth2:resource-server id="mobileResourceServer" resource-id="mobile-resource" token-services-ref="tokenServices" />

　　好了，到此为止基本配置就都有了，下面就看访问控制的配置：在前面的拦截链上，已经为登录验证配了一个/auth/token，在这个标签下面添加对/json 和/admin 这两个路径的控制

<http pattern="/json**" create-session="never" entry-point-ref="oauth2AuthenticationEntryPoint" access-decision-manager-ref="oauth2AccessDecisionManager">
    <anonymous enabled="false" />
    <intercept-url pattern="/json**" access="ROLE_USER" />
    <custom-filter ref="mobileResourceServer" before="PRE_AUTH_FILTER" />
    <access-denied-handler ref="oauth2AccessDeniedHandler" />
 </http>
<http pattern="/admin**" create-session="never" entry-point-ref="oauth2AuthenticationEntryPoint" access-decision-manager-ref="oauth2AccessDecisionManager">
    <anonymous enabled="false" />
    <intercept-url pattern="/admin**" access="SCOPE_READ,ROLE_ADMIN" />
    <custom-filter ref="mobileResourceServer" before="PRE_AUTH_FILTER" />
    <access-denied-handler ref="oauth2AccessDeniedHandler" />
 </http>

　　我们用 oauth2AccessDecisionManager 来做决策，这个地方需要注意，spring-security 里面配置 access="ROLE_USER,ROLE_ADMIN"是说 user 和 admin 都可以访问，是一个“或”的关系，但是这里是“与”的关系，比如第二个，需要 ROLE_ADMIN 并且当前的 scope 包含 read 才可以，否则就没有权限。认证失败会返回一段 xml，这个可以自定义 handler 来修改，暂且按下不表。

　　 默认的 12 小时 access_token 可能对于我们来说太长，通过 UUID.randomUUID()来生成一个 36 的唯一的 access_token 也不是我们想要的生存方式。故我们可以复制 org.springframework.security.oauth2.provider.token.DefaultTokenServices，并对其进行一定修改即可，这里我把这个类复制出来，修改成 MyTokenService，并在上面的配置文件中进行了配置。主要是修改其以下成员变量：

private int refreshTokenValiditySeconds = 2592000;       //refresh_token 的超时时间  默认2592000秒
private int accessTokenValiditySeconds = 10;             //access_token 的超时时间   默认12个小时
private boolean supportRefreshToken = false;            //是否支持access_token 刷新，默认是false,在配置文件中以配置成可以支持了，
private boolean reuseRefreshToken = true;               //使用refresh_token刷新之后该refresh_token是否依然使用，默认是依然使用
private TokenStore tokenStore;                             //access_token的存储方式，这个在配置文件中配

　　通过修改修改其 createAccessToken 方法来修改 access_token 的生成方式：

private OAuth2AccessToken createAccessToken(OAuth2Authentication authentication, OAuth2RefreshToken refreshToken) {
    String access_tokens = UUID.randomUUID().toString().replaceAll("-",""); DefaultOAuth2AccessToken token = new DefaultOAuth2AccessToken(access_tokens); int validitySeconds = this.getAccessTokenValiditySeconds(authentication.getOAuth2Request());if(validitySeconds > 0) {
        token.setExpiration(new Date(System.currentTimeMillis() + (long)validitySeconds * 1000L));

    token.setRefreshToken(refreshToken);
    token.setScope(authentication.getOAuth2Request().getScope()); return (OAuth2AccessToken)(this.accessTokenEnhancer != null?this.accessTokenEnhancer.enhance(token, authentication):token);
}

　　源码下载：http://pan.baidu.com/s/1mhSfKFY

获取 access_token URL ：

http://localhost:8080/AOuth/oauth/token?client_id=mobile_1&client_secret=secret_1&grant_type=password&username=aa&password=aa

这时候会返回一个 access_token：

{"access_token":"4219a91f-45d5-4a07-9e8e-3acbadd0c23e","token_type":"bearer","refresh_token":"d41df9fd-3d36-4a20-b0b7-1a1883c7439d","expires_in":43199,"scope":"read write trust"}

这之后再拿着这个 access_token 去访问资源：

http://localhost:8080/AOuth/admin?access_token=4219a91f-45d5-4a07-9e8e-3acbadd0c23e

刷新 access_token：

http://localhost:8080/AOuth/oauth/token?client_id=mobile_1&client_secret=secret_1&grant_type=refresh_token&refresh_token=ad18fc89e1424278b675ca05bf8afbb3

  • B3log

    B3log 是一个开源组织，名字来源于“Bulletin Board Blog”缩写，目标是将独立博客与论坛结合，形成一种新的网络社区体验，详细请看 B3log 构思。目前 B3log 已经开源了多款产品：Sym、Solo、Vditor 和 思源笔记。

    1083 引用 • 3461 回帖 • 286 关注
447 7 114 99 9 39 6 48 116

相关帖子

回帖
Spring Security Aauth2.0 实现

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
CloudOf
回帖
0
 帖子
9
 积分
505

近期热议

推荐标签 标签

  • 链滴

    链滴是一个记录生活的地方。

    记录生活，连接点滴

    132 引用 • 3647 回帖 • 1 关注
  • 互联网

    互联网（Internet），又称网际网络，或音译因特网、英特网。互联网始于 1969 年美国的阿帕网，是网络与网络之间所串连成的庞大网络，这些网络以一组通用的协议相连，形成逻辑上的单一巨大国际网络。

    96 引用 • 330 回帖
  • Flume

    Flume 是一套分布式的、可靠的，可用于有效地收集、聚合和搬运大量日志数据的服务架构。

    9 引用 • 6 回帖 • 596 关注
  • TextBundle

    TextBundle 文件格式旨在应用程序之间交换 Markdown 或 Fountain 之类的纯文本文件时，提供更无缝的用户体验。

    1 引用 • 2 回帖 • 49 关注
  • Solidity

    Solidity 是一种智能合约高级语言，运行在 [以太坊] 虚拟机（EVM）之上。它的语法接近于 JavaScript，是一种面向对象的语言。

    3 引用 • 18 回帖 • 349 关注
  • Sphinx

    Sphinx 是一个基于 SQL 的全文检索引擎，可以结合 MySQL、PostgreSQL 做全文搜索，它可以提供比数据库本身更专业的搜索功能，使得应用程序更容易实现专业化的全文检索。

    1 引用 • 178 关注
  • TensorFlow

    TensorFlow 是一个采用数据流图（data flow graphs），用于数值计算的开源软件库。节点（Nodes）在图中表示数学操作，图中的线（edges）则表示在节点间相互联系的多维数据数组，即张量（tensor）。

    20 引用 • 19 回帖 • 1 关注
  • PWA

    PWA（Progressive Web App）是 Google 在 2015 年提出、2016 年 6 月开始推广的项目。它结合了一系列现代 Web 技术，在网页应用中实现和原生应用相近的用户体验。

    14 引用 • 69 回帖 • 131 关注
  • 友情链接

    确认过眼神后的灵魂连接，站在链在！

    24 引用 • 373 回帖 • 1 关注
  • 反馈

    Communication channel for makers and users.

    123 引用 • 906 回帖 • 192 关注
  • JVM

    JVM（Java Virtual Machine）Java 虚拟机是一个微型操作系统，有自己的硬件构架体系，还有相应的指令系统。能够识别 Java 独特的 .class 文件（字节码），能够将这些文件中的信息读取出来，使得 Java 程序只需要生成 Java 虚拟机上的字节码后就能在不同操作系统平台上进行运行。

    180 引用 • 120 回帖
  • SOHO

    为成为自由职业者在家办公而努力吧！

    7 引用 • 55 回帖 • 94 关注
  • 深度学习

    深度学习（Deep Learning）是机器学习的分支，是一种试图使用包含复杂结构或由多重非线性变换构成的多个处理层对数据进行高层抽象的算法。

    40 引用 • 40 回帖
  • Oracle

    Oracle（甲骨文）公司，全称甲骨文股份有限公司（甲骨文软件系统有限公司），是全球最大的企业级软件公司，总部位于美国加利福尼亚州的红木滩。1989 年正式进入中国市场。2013 年，甲骨文已超越 IBM，成为继 Microsoft 后全球第二大软件公司。

    103 引用 • 126 回帖 • 445 关注
  • WordPress

    WordPress 是一个使用 PHP 语言开发的博客平台，用户可以在支持 PHP 和 MySQL 数据库的服务器上架设自己的博客。也可以把 WordPress 当作一个内容管理系统（CMS）来使用。WordPress 是一个免费的开源项目，在 GNU 通用公共许可证（GPLv2）下授权发布。

    45 引用 • 113 回帖 • 310 关注
  • Swift

    Swift 是苹果于 2014 年 WWDC（苹果开发者大会）发布的开发语言，可与 Objective-C 共同运行于 Mac OS 和 iOS 平台，用于搭建基于苹果平台的应用程序。

    34 引用 • 37 回帖 • 497 关注
  • RYMCU

    RYMCU 致力于打造一个即严谨又活泼、专业又不失有趣，为数百万人服务的开源嵌入式知识学习交流平台。

    4 引用 • 6 回帖 • 40 关注
  • 持续集成

    持续集成（Continuous Integration）是一种软件开发实践，即团队开发成员经常集成他们的工作，通过每个成员每天至少集成一次，也就意味着每天可能会发生多次集成。每次集成都通过自动化的构建（包括编译，发布，自动化测试）来验证，从而尽早地发现集成错误。

    14 引用 • 7 回帖 • 3 关注
  • Sillot

    Sillot （汐洛）孵化自思源笔记，致力于服务智慧新彖乄，具有彖乄驱动、极致优雅、开发者友好的特点
    Github 地址：https://github.com/Hi-Windom/Sillot

    17 引用 • 6 回帖 • 27 关注
  • 百度

    百度（Nasdaq：BIDU）是全球最大的中文搜索引擎、最大的中文网站。2000 年 1 月由李彦宏创立于北京中关村，致力于向人们提供“简单，可依赖”的信息获取方式。“百度”二字源于中国宋朝词人辛弃疾的《青玉案·元夕》词句“众里寻他千百度”，象征着百度对中文信息检索技术的执著追求。

    63 引用 • 785 回帖 • 250 关注
  • webpack

    webpack 是一个用于前端开发的模块加载器和打包工具，它能把各种资源，例如 JS、CSS（less/sass）、图片等都作为模块来使用和处理。

    41 引用 • 130 回帖 • 292 关注
  • Vditor

    Vditor 是一款浏览器端的 Markdown 编辑器，支持所见即所得、即时渲染（类似 Typora）和分屏预览模式。它使用 TypeScript 实现，支持原生 JavaScript、Vue、React 和 Angular。

    314 引用 • 1667 回帖 • 3 关注
  • Maven

    Maven 是基于项目对象模型（POM）、通过一小段描述信息来管理项目的构建、报告和文档的软件项目管理工具。

    186 引用 • 318 回帖 • 342 关注
  • Windows

    Microsoft Windows 是美国微软公司研发的一套操作系统，它问世于 1985 年，起初仅仅是 Microsoft-DOS 模拟环境，后续的系统版本由于微软不断的更新升级，不但易用，也慢慢的成为家家户户人们最喜爱的操作系统。

    215 引用 • 462 回帖 • 1 关注
  • WiFiDog

    WiFiDog 是一套开源的无线热点认证管理工具，主要功能包括：位置相关的内容递送；用户认证和授权；集中式网络监控。

    1 引用 • 7 回帖 • 544 关注
  • 快应用

    快应用 是基于手机硬件平台的新型应用形态；标准是由主流手机厂商组成的快应用联盟联合制定；快应用标准的诞生将在研发接口、能力接入、开发者服务等层面建设标准平台；以平台化的生态模式对个人开发者和企业开发者全品类开放。

    15 引用 • 127 回帖 • 5 关注
  • Gzip

    gzip （GNU zip）是 GNU 自由软件的文件压缩程序。我们在 Linux 中经常会用到后缀为 .gz 的文件，它们就是 Gzip 格式的。现今已经成为互联网上使用非常普遍的一种数据压缩格式，或者说一种文件格式。

    9 引用 • 12 回帖 • 114 关注

最新标签