基于Spring Security Oauth2的SSO单点登录+JWT权限控制实践

小咪咪 2024-04-01 10:12 73阅读 0赞

![abf0c1405a687f0bf50e02a0e2751c4a.png][]

理论知识

在此之前需要学习和了解一些前置知识包括：

*  Spring Security：基于 Spring实现的 Web系统的认证和权限模块
 *  OAuth2：一个关于授权（authorization）的开放网络标准
 *  单点登录 (SSO)：在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统
 *  JWT：在网络应用间传递信息的一种基于 JSON的开放标准（(RFC 7519)，用于作为JSON对象在不同系统之间进行安全地信息传输。主要使用场景一般是用来在 身份提供者和服务提供者间传递被认证的用户身份信息

--------------------

要完成的目标

*  目标1：设计并实现一个第三方授权中心服务（Server），用于完成用户登录，认证和权限处理
 *  目标2：可以在授权中心下挂载任意多个客户端应用（Client）
 *  目标3：当用户访问客户端应用的安全页面时，会重定向到授权中心进行身份验证，认证完成后方可访问客户端应用的服务，且多个客户端应用只需要登录一次即可（谓之 “单点登录 SSO”）

基于此目标驱动，本文设计三个独立服务，分别是：

*  一个授权服务中心（codesheep-server）
 *  客户端应用1（codesheep-client1）
 *  客户端应用2（codesheep-client2）

--------------------

多模块（Multi-Module）项目搭建

三个应用通过一个多模块的 Maven项目进行组织，其中项目父 pom中需要加入相关依赖如下：

<dependencies> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-dependencies</artifactId> <version>2.0.8.RELEASE</version> <type>pom</type> <scope>import</scope> </dependency> <dependency> <groupId>io.spring.platform</groupId> <artifactId>platform-bom</artifactId> <version>Cairo-RELEASE</version> <type>pom</type> <scope>import</scope> </dependency> <dependency> <groupId>org.springframework.cloud</groupId> <artifactId>spring-cloud-dependencies</artifactId> <version>Finchley.SR2</version> <type>pom</type> <scope>import</scope> </dependency> </dependencies>

项目结构如下：

![format_png][]

项目结构

--------------------

授权认证中心搭建

授权认证中心本质就是一个 Spring Boot应用，因此需要完成几个大步骤：

*  pom中添加依赖

<dependencies> <dependency> <groupId>org.springframework.cloud</groupId> <artifactId>spring-cloud-starter-oauth2</artifactId> </dependency> </dependencies>

*  项目 yml配置文件：

server: port: 8085 servlet: context-path: /uac

即让授权中心服务启动在本地的 8085端口之上

*  创建一个带指定权限的模拟用户

@Component public class SheepUserDetailsService implements UserDetailsService \{ @Autowired private PasswordEncoder passwordEncoder; @Override public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException \{ if( !"codesheep".equals(s) ) throw new UsernameNotFoundException("用户" + s + "不存在" ); return new User( s, passwordEncoder.encode("123456"), AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE\_NORMAL,ROLE\_MEDIUM")); \} \}

这里创建了一个用户名为codesheep，密码 123456的模拟用户，并且赋予了 普通权限（ROLE\_NORMAL）和 中等权限（ROLE\_MEDIUM）

*  认证服务器配置 AuthorizationServerConfig

@Configuration @EnableAuthorizationServer public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter \{ @Override public void configure(ClientDetailsServiceConfigurer clients) throws Exception \{ // 定义了两个客户端应用的通行证 clients.inMemory() .withClient("sheep1") .secret(new BCryptPasswordEncoder().encode("123456")) .authorizedGrantTypes("authorization\_code", "refresh\_token") .scopes("all") .autoApprove(false) .and() .withClient("sheep2") .secret(new BCryptPasswordEncoder().encode("123456")) .authorizedGrantTypes("authorization\_code", "refresh\_token") .scopes("all") .autoApprove(false); \} @Override public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception \{ endpoints.tokenStore(jwtTokenStore()).accessTokenConverter(jwtAccessTokenConverter()); DefaultTokenServices tokenServices = (DefaultTokenServices) endpoints.getDefaultAuthorizationServerTokenServices(); tokenServices.setTokenStore(endpoints.getTokenStore()); tokenServices.setSupportRefreshToken(true); tokenServices.setClientDetailsService(endpoints.getClientDetailsService()); tokenServices.setTokenEnhancer(endpoints.getTokenEnhancer()); tokenServices.setAccessTokenValiditySeconds((int) TimeUnit.DAYS.toSeconds(1)); // 一天有效期 endpoints.tokenServices(tokenServices); \} @Override public void configure(AuthorizationServerSecurityConfigurer security) throws Exception \{ security.tokenKeyAccess("isAuthenticated()"); \} @Bean public TokenStore jwtTokenStore() \{ return new JwtTokenStore(jwtAccessTokenConverter()); \} @Bean public JwtAccessTokenConverter jwtAccessTokenConverter()\{ JwtAccessTokenConverter converter = new JwtAccessTokenConverter(); converter.setSigningKey("testKey"); return converter; \} \}

这里做的最重要的两件事：一是 定义了两个客户端应用的通行证（sheep1和sheep2）；二是 配置 token的具体实现方式为 JWT Token。

*  Spring Security安全配置 SpringSecurityConfig

@Configuration public class SpringSecurityConfig extends WebSecurityConfigurerAdapter \{ @Override @Bean public AuthenticationManager authenticationManager() throws Exception \{ return super.authenticationManager(); \} @Autowired private UserDetailsService userDetailsService; @Bean public PasswordEncoder passwordEncoder() \{ return new BCryptPasswordEncoder(); \} @Bean public DaoAuthenticationProvider authenticationProvider() \{ DaoAuthenticationProvider authenticationProvider = new DaoAuthenticationProvider(); authenticationProvider.setUserDetailsService(userDetailsService); authenticationProvider.setPasswordEncoder(passwordEncoder()); authenticationProvider.setHideUserNotFoundExceptions(false); return authenticationProvider; \} @Override protected void configure(HttpSecurity http) throws Exception \{ http .requestMatchers().antMatchers("/oauth/\*\*","/login/\*\*","/logout/\*\*") .and() .authorizeRequests() .antMatchers("/oauth/\*\*").authenticated() .and() .formLogin().permitAll(); \} @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception \{ auth.authenticationProvider(authenticationProvider()); \} \}

--------------------

客户端应用创建和配置

本文创建两个客户端应用：codesheep-client1 和codesheep-client2，由于两者类似，因此只以其一为例进行讲解

*  SSO客户端应用配置类 ClientWebsecurityConfigurer

@Configuration @EnableWebSecurity @EnableGlobalMethodSecurity(prePostEnabled = true) @EnableOAuth2Sso public class ClientWebsecurityConfigurer extends WebSecurityConfigurerAdapter \{ @Override public void configure(HttpSecurity http) throws Exception \{ http.antMatcher("/\*\*").authorizeRequests() .anyRequest().authenticated(); \} \}

复杂的东西都交给注解了！

*  application.yml配置

auth-server: http://localhost:8085/uac server: port: 8086 security: oauth2: client: client-id: sheep1 client-secret: 123456 user-authorization-uri: $\{auth-server\}/oauth/authorize access-token-uri: $\{auth-server\}/oauth/token resource: jwt: key-uri: $\{auth-server\}/oauth/token\_key

这里几项配置都非常重要，都是需要和前面搭建的授权中心进行通信的

*  创建测试控制器 TestController

@RestController public class TestController \{ @GetMapping("/normal") @PreAuthorize("hasAuthority('ROLE\_NORMAL')") public String normal( ) \{ return "normal permission test success !!!"; \} @GetMapping("/medium") @PreAuthorize("hasAuthority('ROLE\_MEDIUM')") public String medium() \{ return "medium permission test success !!!"; \} @GetMapping("/admin") @PreAuthorize("hasAuthority('ROLE\_ADMIN')") public String admin() \{ return "admin permission test success !!!"; \} \}

此测试控制器包含三个接口，分别需要三种权限（ROLE\_NORMAL、ROLE\_MEDIUM、ROLE\_ADMIN），待会后文会一一测试看效果

--------------------

实验验证

*  启动授权认证中心 codesheep-server（启动于本地8085端口）
 *  启动客户端应用 codesheep-client1 （启动于本地8086端口）
 *  启动客户端应用 codesheep-client2 （启动于本地8087端口）

首先用浏览器访问客户端1 (codesheep-client1) 的测试接口：localhost:8086/normal，由于此时并没有过用户登录认证，因此会自动跳转到授权中心的登录认证页面： http://localhost:8085/uac/login：

![format_png 1][]

自动跳转到授权中心统一登录页面

输入用户名 codesheep，密码 123456，即可登录认证，并进入授权页面：

![format_png 2][]

授权页面

同意授权后，会自动返回之前客户端的测试接口：

![format_png 3][]

自动返回客户端接口并调用成功

此时我们再继续访问客户端1 (codesheep-client1) 的测试接口：localhost:8086/medium，发现已经直接可以调用而无需认证了：

![format_png 4][]

直接访问

由于 localhost:8086/normal 和 localhost:8086/medium要求的接口权限，用户codesheep均具备，所以能顺利访问，接下来再访问一下更高权限的接口：localhost:8086/admin：

![format_png 5][]

无权限访问

好了，访问客户端1 (codesheep-client1) 的测试接口到此为止，接下来访问外挂的客户端2 (codesheep-client2) 的测试接口：localhost:8087/normal，会发现此时会自动跳到授权页：

![format_png 6][]

由于用户已通过客户端1登录过\_因此再访问客户端2即无需登录\_而是直接跳到授权页

授权完成之后就可以顺利访问客户端2 (codesheep-client2) 的接口：

![format_png 7][]

顺利访问客户端2的接口

这就验证了单点登录SSO的功能了！

[abf0c1405a687f0bf50e02a0e2751c4a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/01/fad2bb323c1748d48227aecdc65df6a2.png
[format_png]: https://img-blog.csdnimg.cn/img_convert/c636374aa1e6bf5b32bd5ac4656d0d14.webp?x-oss-process=image/format,png
[format_png 1]: https://img-blog.csdnimg.cn/img_convert/fbee21e0b92d421de6c67304d5227a01.webp?x-oss-process=image/format,png
[format_png 2]: https://img-blog.csdnimg.cn/img_convert/a18b2576d559614c8fdf8ddeadf3af89.webp?x-oss-process=image/format,png
[format_png 3]: https://img-blog.csdnimg.cn/img_convert/6d58d1626b0caef11bb82a7340a40560.webp?x-oss-process=image/format,png
[format_png 4]: https://img-blog.csdnimg.cn/img_convert/2e4e8c6a9a34114d454bea93a7e7801c.webp?x-oss-process=image/format,png
[format_png 5]: https://img-blog.csdnimg.cn/img_convert/77eeebdd1b75ef72146eedcbbc752e42.webp?x-oss-process=image/format,png
[format_png 6]: https://img-blog.csdnimg.cn/img_convert/37035ea25da917ca9b3fae1d00eb202d.webp?x-oss-process=image/format,png
[format_png 7]: https://img-blog.csdnimg.cn/img_convert/52cac4754e3608984c769e8985716cb1.webp?x-oss-process=image/format,png