登录 注册

Spring Security Aauth2.0 实现

本贴最后更新于 2456 天前，其中的信息可能已经物是人非

原文地址：https://www.cnblogs.com/0201zcr/p/5328847.html
oauth 应该属于 security 的一部分。关于 oauth 的的相关知识可以查看阮一峰的文章：http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html

一、目标

　　现在很多系统都支持第三方账号密码等登陆我们自己的系统，例如：我们经常会看到，一些系统使用微信账号，微博账号、QQ 账号等登陆自己的系统，我们现在就是要模拟这种登陆的方式，很多大的公司已经实现了这种授权登陆的方式，并提供了相应的 API，供我们开发人员调用。他们实际上用的也规范是 oauth2.0 的规范，通过用户授权的方式，获取一些信息。以前就做过一些类似的，如：

微信扫码登陆：http://www.cnblogs.com/0201zcr/p/5133062.html

微信客户端授权登陆：http://www.cnblogs.com/0201zcr/p/5131602.html　　

　　但是假如你的系统要提供其他网站使用你的账号密码登陆，你就需要写好相应的接口规范， 给人家调用。用得比较多的是使用 spring security oauth 实现的方式。

我们这里使用 meaven 导入我们所需要的 jar 包，使用配置文件的方式拦截我们的请求并进行验证是否有效，然后即可获取我们需要的信息。

这里主要是模拟了通过给予第三方账号密码的方式，在第三方进行鉴权，然后将 access_token 等信息传回过来，然后要登录的系统在通过这个返回的 access_token 去第三方请求一些用户授权的数据。即可完成第三方的账号密码登录。

二、Spring security oauth 相关依赖 meaven 配置

4.0.0 org.zhangfc demo4ssh-security-oauth2 war 0.0.1-SNAPSHOT 
<properties>
    <spring.version>4.0.4.RELEASE </spring.version>
    <hibernate.version>4.3.5.Final </hibernate.version>
    <spring-security.version>3.2.4.RELEASE </spring-security.version>
    <spring-security-oauth2.version>2.0.2.RELEASE </spring-security-oauth2.version>
 </properties>

<dependencies>
    <dependency>
        <groupId>org.springframework </groupId>
        <artifactId>spring-webmvc </artifactId>
        <version>${spring.version} </version>
     </dependency>
    <dependency>
        <groupId>org.springframework </groupId>
        <artifactId>spring-orm </artifactId>
        <version>${spring.version} </version>
     </dependency>
    <dependency>
        <groupId>org.springframework.security </groupId>
        <artifactId>spring-security-config </artifactId>
        <version>${spring-security.version} </version>
     </dependency>
    <dependency>
        <groupId>org.springframework.security </groupId>
        <artifactId>spring-security-taglibs </artifactId>
        <version>${spring-security.version} </version>
     </dependency>
    <dependency>
        <groupId>org.springframework.security.oauth </groupId>
        <artifactId>spring-security-oauth2 </artifactId>
        <version>${spring-security-oauth2.version} </version>
    </dependency>
    <dependency>
       <groupId>org.hibernate </groupId>
       <artifactId>hibernate-core </artifactId>
       <version>${hibernate.version} </version>
     </dependency>
    <dependency>
        <groupId>javax.servlet.jsp.jstl </groupId>
        <artifactId>javax.servlet.jsp.jstl-api </artifactId>
        <version>1.2.1 </version>
     </dependency>
    <dependency>
        <groupId>taglibs </groupId>
        <artifactId>standard </artifactId>
        <version>1.1.2 </version>
     </dependency>
    <dependency>
        <groupId>tomcat </groupId>
        <artifactId>servlet-api </artifactId>
        <version>5.5.23 </version>
        <scope>provided </scope>
     </dependency>
    <dependency>
        <groupId>tomcat </groupId>
        <artifactId>jsp-api </artifactId>
        <version>5.5.23 </version>
        <scope>provided </scope>
     </dependency>
    <dependency>
        <groupId>commons-fileupload </groupId>
        <artifactId>commons-fileupload </artifactId>
        <version>1.3.1 </version>
     </dependency>
    <dependency>
        <groupId>org.hibernate </groupId>
        <artifactId>hibernate-validator </artifactId>
        <version>5.1.2.Final </version>
     </dependency>
    <dependency>
        <groupId>c3p0 </groupId>
        <artifactId>c3p0 </artifactId>
        <version>0.9.1.2 </version>
    </dependency>
    <dependency>
        <groupId>mysql </groupId>
        <artifactId>mysql-connector-java </artifactId>
        <version>5.1.31 </version>
     </dependency>
    <dependency>
        <groupId>org.codehaus.jackson </groupId>
        <artifactId>jackson-mapper-asl </artifactId>
        <version>1.9.13 </version>
     </dependency>
 </dependencies>

<build>
    <finalName>demo4ssh-security-oauth2 </finalName>
 </build>
​

三、web.xml 文件配置

xml version="1.0" encoding="UTF-8"?>

<context-param>
    <param-name>contextConfigLocation </param-name>
    <param-value> classpath:/META-INF/infrastructure.xml,classpath*:/META-INF/applicationContext*.xml </param-value>
 </context-param>

<listener>    <listener-class>org.springframework.web.context.ContextLoaderListener </listener-class>
 </listener>

<servlet>
    <servlet-name>spring-dispatcher </servlet-name>
    <servlet-class>org.springframework.web.servlet.Dispatcher </Servletservlet-class>
 </servlet>
<servlet-mapping>
    <servlet-name>spring-dispatcher </servlet-name>
    <url-pattern>/ </url-pattern>
 </servlet-mapping>

<filter>
    <filter-name>springSecurityFilterChain </filter-name>
    <filter-class>org.springframework.web.filter.DelegatingFilterProxy </filter-class>
 </filter>
<filter-mapping>
    <filter-name>springSecurityFilterChain </filter-name>
    <url-pattern>/* </url-pattern>
 </filter-mapping>
​

四、applicationContext-security.xml

　　oauth2 是 security 的一部分，配置也有关联，就不再单建文件

　　添加 http 拦截链

<!-- /oauth/token 是oauth2登陆验证请求的url 用于获取access_token ,默认的生存时间是43200秒，即12小时 -->
<http pattern="/oauth/**" auto-config="true" use-expressions="true"
	authentication-manager-ref="oauth2AuthenticationManager">
	<!-- 可以访问的角色名称，如果需要拦截，需要实现UserDetails接口，实现getAuthorities（）方法 -->
	<anonymous enabled="false" />
	<csrf disabled="true" />
	<http-basic entry-point-ref="oauth2AuthenticationEntryPoint" />
	<custom-filter ref="clientCredentialsTokenEndpointFilter" before="BASIC_AUTH_FILTER" />
	<access-denied-handler ref="oauth2AccessDeniedHandler" />
</http>
​

　　这个标签处理/oauth/token 的网络请求，这是 oauth2 的登录验证请求，那么登录需要什么，首先，和 Spring Security 一样，需要一个认证管理器，Spring Oauth2 需要两个认证管理器，第一个就是之前 Spring 中配置的那一个，用来验证用户名密码的，

<authentication-manager>
    <authentication-provider>
        
        <jdbc-user-service data-source-ref="dataSource" users-by-username-query="select username, password, 1 from user where username = ?" authorities-by-username-query="select u.username, r.role from user u left join role r on u.role_id=r.id where username = ?" />
     </authentication-provider>
 </authentication-manager>
​

　　还有一个是用来区分客户端用户的，给它起个名字叫 oauth2AuthenticationManager：

<oauth2:client-details-service id="clientDetailsService" >
<oauth2:client client-id="mobile_1" authorized-grant-types="password,authorization_code,refresh_token,implicit" secret="secret_1" scope="read,write,trust" />
/oauth2:client-details-service
<beans:bean id="oauth2ClientDetailsUserService" class="org.springframework.security.oauth2.provider.client.ClientDetailsUserDetailsService">
<beans:constructor-arg ref="clientDetailsService" />
/beans:bean


　　这儿设置了一种客户端，id 叫做 mobile_1，secret 叫做 secret_1，针对 read、write 和 trust 几个域有效。这几个域会在访问控制中被用到。

　　当登录成功之后会得到一个 token，再次访问的时候需要携带这个 token，spring-oauth2 根据这个 token 来做认证，那么 spring-oauth2 必须先存一份 token 和用户关系的对应，因为不用 session 了，这就相当于 session，那么这个 token 在服务器中怎么存，有两种主要的存储方式，一是创建数据表，把 token 存到数据库里，我现在追求简单可用，采用第二种方式，直接存到内存里。下面配置一个管理 token 的 service：

<beans:bean id="tokenStore" class="org.springframework.security.oauth2.provider.token.store.InMemoryTokenStore" />
     
<beans:bean id="tokenServices" class="org.zhangfc.demo4ssh.service.MyTokenService">      
​

　　下面配置 4 个基本的 bean：分别处理访问成功、访问拒绝、认证点和访问控制：

<beans:bean id="oauth2AuthenticationEntryPoint" class="org.springframework.security.oauth2.provider.error.OAuth2AuthenticationEntryPoint" />

<beans:bean id="oauth2AccessDeniedHandler" class="org.springframework.security.oauth2.provider.error.OAuth2AccessDeniedHandler" />

<beans:bean id="oauthUserApprovalHandler" class="org.springframework.security.oauth2.provider.approval.DefaultUserApprovalHandler" />

<beans:bean id="oauth2AccessDecisionManager" class="org.springframework.security.access.vote.UnanimousBased">
    <beans:constructor-arg>
        <beans:list>
            <beans:bean class="org.springframework.security.oauth2.provider.vote.ScopeVoter" />
            <beans:bean class="org.springframework.security.access.vote.RoleVoter" />
            <beans:bean class="org.springframework.security.access.vote.AuthenticatedVoter" />
         </beans:list>
     </beans:constructor-arg>
 </beans:bean>
​

　　配置这个 oauth2 的 server 所能支持的请求类型：

<oauth2:authorization-server client-details-service-ref="clientDetailsService" token-services-ref="tokenServices" user-approval-handler-ref="oauthUserApprovalHandler">
    <oauth2:authorization-code />
    <oauth2:implicit />
    <oauth2:refresh-token />
    <oauth2:client-credentials />
    <oauth2:password />
 </oauth2:authorization-server>
​

　　我们的请求里，要把验证类型、用户名密码都作为表单参数提交，这就需要配置下面的 filter：

<beans:bean id="clientCredentialsTokenEndpointFilter" class="org.springframework.security.oauth2.provider.client.ClientCredentialsTokenEndpointFilter">
    <beans:property name="authenticationManager" ref="oauth2AuthenticationManager" />
 </beans:bean>
​

　　下面定义一种资源，指定 spring 要保护的资源，如果没有这个，访问控制的时候会说没有 Authentication object：

<oauth2:resource-server id="mobileResourceServer" resource-id="mobile-resource" token-services-ref="tokenServices" />
​

　　好了，到此为止基本配置就都有了，下面就看访问控制的配置：在前面的拦截链上，已经为登录验证配了一个/auth/token，在这个标签下面添加对/json 和/admin 这两个路径的控制

<http pattern="/json**" create-session="never" entry-point-ref="oauth2AuthenticationEntryPoint" access-decision-manager-ref="oauth2AccessDecisionManager">
    <anonymous enabled="false" />
    <intercept-url pattern="/json**" access="ROLE_USER" />
    <custom-filter ref="mobileResourceServer" before="PRE_AUTH_FILTER" />
    <access-denied-handler ref="oauth2AccessDeniedHandler" />
 </http>
<http pattern="/admin**" create-session="never" entry-point-ref="oauth2AuthenticationEntryPoint" access-decision-manager-ref="oauth2AccessDecisionManager">
    <anonymous enabled="false" />
    <intercept-url pattern="/admin**" access="SCOPE_READ,ROLE_ADMIN" />
    <custom-filter ref="mobileResourceServer" before="PRE_AUTH_FILTER" />
    <access-denied-handler ref="oauth2AccessDeniedHandler" />
 </http>
​

　　我们用 oauth2AccessDecisionManager 来做决策，这个地方需要注意，spring-security 里面配置 access="ROLE_USER,ROLE_ADMIN"是说 user 和 admin 都可以访问，是一个“或”的关系，但是这里是“与”的关系，比如第二个，需要 ROLE_ADMIN 并且当前的 scope 包含 read 才可以，否则就没有权限。认证失败会返回一段 xml，这个可以自定义 handler 来修改，暂且按下不表。

　　 默认的 12 小时 access_token 可能对于我们来说太长，通过 UUID.randomUUID()来生成一个 36 的唯一的 access_token 也不是我们想要的生存方式。故我们可以复制 org.springframework.security.oauth2.provider.token.DefaultTokenServices，并对其进行一定修改即可，这里我把这个类复制出来，修改成 MyTokenService，并在上面的配置文件中进行了配置。主要是修改其以下成员变量：

private int refreshTokenValiditySeconds = 2592000;       //refresh_token 的超时时间  默认2592000秒
private int accessTokenValiditySeconds = 10;             //access_token 的超时时间   默认12个小时
private boolean supportRefreshToken = false;            //是否支持access_token 刷新，默认是false,在配置文件中以配置成可以支持了，
private boolean reuseRefreshToken = true;               //使用refresh_token刷新之后该refresh_token是否依然使用，默认是依然使用
private TokenStore tokenStore;                             //access_token的存储方式，这个在配置文件中配
​

　　通过修改修改其 createAccessToken 方法来修改 access_token 的生成方式：

private OAuth2AccessToken createAccessToken(OAuth2Authentication authentication, OAuth2RefreshToken refreshToken) {
    String access_tokens = UUID.randomUUID().toString().replaceAll("-",""); DefaultOAuth2AccessToken token = new DefaultOAuth2AccessToken(access_tokens); int validitySeconds = this.getAccessTokenValiditySeconds(authentication.getOAuth2Request());if(validitySeconds > 0) {
        token.setExpiration(new Date(System.currentTimeMillis() + (long)validitySeconds * 1000L));

    token.setRefreshToken(refreshToken);
    token.setScope(authentication.getOAuth2Request().getScope()); return (OAuth2AccessToken)(this.accessTokenEnhancer != null?this.accessTokenEnhancer.enhance(token, authentication):token);
}
​

　　源码下载：http://pan.baidu.com/s/1mhSfKFY

获取 access_token URL ：

http://localhost:8080/AOuth/oauth/token?client_id=mobile_1&client_secret=secret_1&grant_type=password&username=aa&password=aa

这时候会返回一个 access_token：

{"access_token":"4219a91f-45d5-4a07-9e8e-3acbadd0c23e","token_type":"bearer","refresh_token":"d41df9fd-3d36-4a20-b0b7-1a1883c7439d","expires_in":43199,"scope":"read write trust"}

这之后再拿着这个 access_token 去访问资源：

http://localhost:8080/AOuth/admin?access_token=4219a91f-45d5-4a07-9e8e-3acbadd0c23e

刷新 access_token：

http://localhost:8080/AOuth/oauth/token?client_id=mobile_1&client_secret=secret_1&grant_type=refresh_token&refresh_token=ad18fc89e1424278b675ca05bf8afbb3

  • B3log

    B3log 是一个开源组织，名字来源于“Bulletin Board Blog”缩写，目标是将独立博客与论坛结合，形成一种新的网络社区体验，详细请看 B3log 构思。目前 B3log 已经开源了多款产品：Sym、Solo、Vditor 和 思源笔记。

    1063 引用 • 3455 回帖 • 164 关注
456 7 114 100 11 39 6 48 122

相关帖子

回帖
Spring Security Aauth2.0 实现

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
CloudOf
回帖
0
 帖子
9
 积分
505

近期热议

推荐标签 标签

  • Log4j

    Log4j 是 Apache 开源的一款使用广泛的 Java 日志组件。

    20 引用 • 18 回帖 • 31 关注
  • TGIF

    Thank God It's Friday! 感谢老天，总算到星期五啦！

    289 引用 • 4492 回帖 • 653 关注
  • DNSPod

    DNSPod 建立于 2006 年 3 月份，是一款免费智能 DNS 产品。 DNSPod 可以为同时有电信、网通、教育网服务器的网站提供智能的解析，让电信用户访问电信的服务器，网通的用户访问网通的服务器，教育网的用户访问教育网的服务器，达到互联互通的效果。

    6 引用 • 26 回帖 • 532 关注
  • 单点登录

    单点登录（Single Sign On）是目前比较流行的企业业务整合的解决方案之一。SSO 的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。

    9 引用 • 25 回帖 • 7 关注
  • Ruby

    Ruby 是一种开源的面向对象程序设计的服务器端脚本语言，在 20 世纪 90 年代中期由日本的松本行弘（まつもとゆきひろ/Yukihiro Matsumoto）设计并开发。在 Ruby 社区，松本也被称为马茨（Matz）。

    7 引用 • 31 回帖 • 248 关注
  • V2Ray
    1 引用 • 15 回帖
  • Sublime

    Sublime Text 是一款可以用来写代码、写文章的文本编辑器。支持代码高亮、自动完成，还支持通过插件进行扩展。

    10 引用 • 5 回帖
  • Outlook
    1 引用 • 5 回帖 • 2 关注
  • Webswing

    Webswing 是一个能将任何 Swing 应用通过纯 HTML5 运行在浏览器中的 Web 服务器，详细介绍请看 将 Java Swing 应用变成 Web 应用 。

    1 引用 • 15 回帖 • 643 关注
  • OkHttp

    OkHttp 是一款 HTTP & HTTP/2 客户端库，专为 Android 和 Java 应用打造。

    16 引用 • 6 回帖 • 85 关注
  • WebComponents

    Web Components 是 W3C 定义的标准，它给了前端开发者扩展浏览器标签的能力，可以方便地定制可复用组件，更好的进行模块化开发，解放了前端开发者的生产力。

    1 引用 • 9 关注
  • SSL

    SSL（Secure Sockets Layer 安全套接层），及其继任者传输层安全（Transport Layer Security，TLS）是为网络通信提供安全及数据完整性的一种安全协议。TLS 与 SSL 在传输层对网络连接进行加密。

    70 引用 • 193 回帖 • 412 关注
  • 开源中国

    开源中国是目前中国最大的开源技术社区。传播开源的理念，推广开源项目，为 IT 开发者提供了一个发现、使用、并交流开源技术的平台。目前开源中国社区已收录超过两万款开源软件。

    7 引用 • 86 回帖 • 2 关注
  • GitHub

    GitHub 于 2008 年上线，目前，除了 Git 代码仓库托管及基本的 Web 管理界面以外，还提供了订阅、讨论组、文本渲染、在线文件编辑器、协作图谱（报表）、代码片段分享（Gist）等功能。正因为这些功能所提供的便利，又经过长期的积累，GitHub 的用户活跃度很高，在开源世界里享有深远的声望，并形成了社交化编程文化（Social Coding）。

    210 引用 • 2040 回帖
  • 坑

    一些有用的避坑指南。

    69 引用 • 93 回帖
  • 友情链接

    确认过眼神后的灵魂连接，站在链在！

    24 引用 • 373 回帖 • 1 关注
  • etcd

    etcd 是一个分布式、高可用的 key-value 数据存储，专门用于在分布式系统中保存关键数据。

    6 引用 • 26 回帖 • 544 关注
  • Redis

    Redis 是一个开源的使用 ANSI C 语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value 数据库，并提供多种语言的 API。从 2010 年 3 月 15 日起，Redis 的开发工作由 VMware 主持。从 2013 年 5 月开始，Redis 的开发由 Pivotal 赞助。

    286 引用 • 248 回帖 • 2 关注
  • NetBeans

    NetBeans 是一个始于 1997 年的 Xelfi 计划，本身是捷克布拉格查理大学的数学及物理学院的学生计划。此计划延伸而成立了一家公司进而发展这个商用版本的 NetBeans IDE，直到 1999 年 Sun 买下此公司。Sun 于次年（2000 年）六月将 NetBeans IDE 开源，直到现在 NetBeans 的社群依然持续增长。

    78 引用 • 102 回帖 • 702 关注
  • 30Seconds

    📙 前端知识精选集，包含 HTML、CSS、JavaScript、React、Node、安全等方面，每天仅需 30 秒。

    • 精选常见面试题，帮助您准备下一次面试
    • 精选常见交互，帮助您拥有简洁酷炫的站点
    • 精选有用的 React 片段，帮助你获取最佳实践
    • 精选常见代码集，帮助您提高打码效率
    • 整理前端界的最新资讯，邀您一同探索新世界
    488 引用 • 384 回帖 • 9 关注
  • Ubuntu

    Ubuntu（友帮拓、优般图、乌班图）是一个以桌面应用为主的 Linux 操作系统，其名称来自非洲南部祖鲁语或豪萨语的“ubuntu”一词，意思是“人性”、“我的存在是因为大家的存在”，是非洲传统的一种价值观，类似华人社会的“仁爱”思想。Ubuntu 的目标在于为一般用户提供一个最新的、同时又相当稳定的主要由自由软件构建而成的操作系统。

    127 引用 • 169 回帖
  • Windows

    Microsoft Windows 是美国微软公司研发的一套操作系统，它问世于 1985 年，起初仅仅是 Microsoft-DOS 模拟环境，后续的系统版本由于微软不断的更新升级，不但易用，也慢慢的成为家家户户人们最喜爱的操作系统。

    227 引用 • 476 回帖
  • BAE

    百度应用引擎（Baidu App Engine）提供了 PHP、Java、Python 的执行环境，以及云存储、消息服务、云数据库等全面的云服务。它可以让开发者实现自动地部署和管理应用，并且提供动态扩容和负载均衡的运行环境，让开发者不用考虑高成本的运维工作，只需专注于业务逻辑，大大降低了开发者学习和迁移的成本。

    19 引用 • 75 回帖 • 666 关注
  • 心情

    心是产生任何想法的源泉，心本体会陷入到对自己本体不能理解的状态中，因为心能产生任何想法，不能分出对错，不能分出自己。

    59 引用 • 369 回帖 • 1 关注
  • Android

    Android 是一种以 Linux 为基础的开放源码操作系统，主要使用于便携设备。2005 年由 Google 收购注资，并拉拢多家制造商组成开放手机联盟开发改良，逐渐扩展到到平板电脑及其他领域上。

    335 引用 • 324 回帖
  • Flume

    Flume 是一套分布式的、可靠的，可用于有效地收集、聚合和搬运大量日志数据的服务架构。

    9 引用 • 6 回帖 • 653 关注
  • NGINX

    NGINX 是一个高性能的 HTTP 和反向代理服务器，也是一个 IMAP/POP3/SMTP 代理服务器。 NGINX 是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的，第一个公开版本 0.1.0 发布于 2004 年 10 月 4 日。

    315 引用 • 547 回帖 • 1 关注

最新标签