如何实现单点登录 ?

你的名字 2021-08-01 00:42 530阅读 0赞

![640?wx\_fmt=png][640_wx_fmt_png]

作 者：微云

来 源：weyunx.com/2019/02/12/spring-boot-sso/

## ＞＞＜＜ ##

## **Overview** ##

最近在弄单点登录，踩了不少坑，所以记录一下，做了个简单的例子。

目标：认证服务器认证后获取 token，客户端访问资源时带上 token 进行安全验证。

可以直接看源码。

## **关键依赖** ##

<parent>	
            <groupId>org.springframework.boot</groupId>	
            <artifactId>spring-boot-starter-parent</artifactId>	
            <version>2.1.2.RELEASE</version>	
            <relativePath/>	
    </parent>	
    
    	
    <dependencies>	
            <dependency>	
                <groupId>org.springframework.boot</groupId>	
                <artifactId>spring-boot-starter-security</artifactId>	
            </dependency>	
            <dependency>	
                <groupId>org.springframework.boot</groupId>	
                <artifactId>spring-boot-starter-web</artifactId>	
            </dependency>	
    
    	
            <dependency>	
                <groupId>org.springframework.boot</groupId>	
                <artifactId>spring-boot-starter-test</artifactId>	
                <scope>test</scope>	
            </dependency>	
            <dependency>	
                <groupId>org.springframework.security</groupId>	
                <artifactId>spring-security-test</artifactId>	
                <scope>test</scope>	
            </dependency>	
            <dependency>	
                <groupId>org.springframework.security.oauth.boot</groupId>	
                <artifactId>spring-security-oauth2-autoconfigure</artifactId>	
                <version>2.1.2.RELEASE</version>	
            </dependency>	
    </dependencies>

## **认证服务器** ##

认证服务器的关键代码有如下几个文件：

![640][]

**`AuthServerApplication`:**

@SpringBootApplication	
    @EnableResourceServer	
    public class AuthServerApplication {	
        public static void main(String[] args) {	
            SpringApplication.run(AuthServerApplication.class, args);	
        }	
    
    	
    }	
    
    	
    AuthorizationServerConfiguration 认证配置:	
    
    	
    @Configuration	
    @EnableAuthorizationServer	
    class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter {	
        @Autowired	
        AuthenticationManager authenticationManager;	
    
    	
        @Autowired	
        TokenStore tokenStore;	
    
    	
        @Autowired	
        BCryptPasswordEncoder encoder;	
    
    	
        @Override	
        public void configure(ClientDetailsServiceConfigurer clients) throws Exception {	
            	
            clients	
                    .inMemory()	
                    .withClient("client")	
                    .secret(encoder.encode("123456")).resourceIds("hi")	
                    .authorizedGrantTypes("password","refresh_token")	
                    .scopes("read");	
        }	
    
    	
        @Override	
        public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {	
            endpoints	
                    .tokenStore(tokenStore)	
                    .authenticationManager(authenticationManager);	
        }	
    
    	
        @Override	
        public void configure(AuthorizationServerSecurityConfigurer oauthServer) throws Exception {	
            	
            oauthServer	
                    .allowFormAuthenticationForClients()	
                    .checkTokenAccess("permitAll()")	
                    .tokenKeyAccess("permitAll()");	
        }	
    }

代码中配置了一个 client，id 是 `client`，密码 `123456`。 `authorizedGrantTypes` 有 `password` 和`refresh_token` 两种方式。

**`SecurityConfiguration` 安全配置：**

@Configuration	
    @EnableWebSecurity	
    public class SecurityConfiguration extends WebSecurityConfigurerAdapter {	
        @Bean	
        public TokenStore tokenStore() {	
            return new InMemoryTokenStore();	
        }	
    
    	
        @Bean	
        public BCryptPasswordEncoder encoder() {	
            return new BCryptPasswordEncoder();	
        }	
    
    	
        @Override	
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {	
            auth.inMemoryAuthentication()	
                   .passwordEncoder(encoder())	
                   .withUser("user_1").password(encoder().encode("123456")).roles("USER")	
                   .and()	
                   .withUser("user_2").password(encoder().encode("123456")).roles("ADMIN");	
        }	
    
    	
        @Override	
        protected void configure(HttpSecurity http) throws Exception {	
            http.csrf().disable()	
                    .requestMatchers()	
                    .antMatchers("/oauth/authorize")	
                    .and()	
                    .authorizeRequests()	
                    .anyRequest().authenticated()	
                    .and()	
                    .formLogin().permitAll();	
        }	
    
    	
        @Override	
        @Bean	
        public AuthenticationManager authenticationManagerBean() throws Exception {	
            return super.authenticationManagerBean();	
        }	
    }

上面在内存中创建了两个用户，角色分别是 `USER` 和 `ADMIN`。后续可考虑在数据库或者 Redis 中存储相关信息。

**`AuthUser` 配置获取用户信息的 Controller：**

@RestController	
    public class AuthUser {	
            @GetMapping("/oauth/user")	
            public Principal user(Principal principal) {	
                return principal;	
            }	
    }

**`application.yml` 配置，主要就是配置个端口号：**

spring:	
      profiles:	
        active: dev	
      application:	
        name: auth-server	
    server:	
      port: 8101

## **客户端配置** ##

客户端的配置比较简单，主要代码结构如下：

![640][640 1]

**`application.yml` 配置：**

spring:	
      profiles:	
        active: dev	
      application:	
        name: client	
    
    	
    server:	
      port: 8102	
    security:	
      oauth2:	
        client:	
          client-id: client	
          client-secret: 123456	
          access-token-uri: http:	
          user-authorization-uri: http:	
          scope: read	
          use-current-uri: false	
        resource:	
          user-info-uri: http:

这里主要是配置了认证服务器的相关地址以及客户端的 id 和 密码。`user-info-uri` 配置的就是服务器端获取用户信息的接口。

`HelloController` 访问的资源，配置了 `ADMIN` 的角色才可以访问：

@RestController	
    public class HelloController {	
        @RequestMapping("/hi")	
        @PreAuthorize("hasRole('ADMIN')")	
        public ResponseEntity<String> hi() {	
            return ResponseEntity.ok().body("auth success!");	
        }	
    }

**`WebSecurityConfiguration` 相关安全配置：**

@Configuration	
    @EnableOAuth2Sso	
    @EnableGlobalMethodSecurity(prePostEnabled = true) 	
    class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {	
    
    	
        @Override	
        public void configure(HttpSecurity http) throws Exception {	
    
    	
            http.csrf().disable().sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS)	
                    .and()	
                    .authorizeRequests()	
                    .anyRequest().authenticated();	
        }	
    }

其中 `@EnableGlobalMethodSecurity(prePostEnabled = true)` 开启后，Spring Security 的 `@PreAuthorize,@PostAuthorize` 注解才可以使用。

`@EnableOAuth2Sso` 配置了单点登录。

**`ClientApplication`：**

@SpringBootApplication	
    @EnableResourceServer	
    public class ClientApplication {	
        public static void main(String[] args) {	
            SpringApplication.run(ClientApplication.class, args);	
        }	
    }

## **验证** ##

启动项目后，我们使用 postman 来进行验证。

首先是获取 token：

![640][640 2]

选择 **POST** 提交，地址为验证服务器的地址，参数中输入 `username`,`password`,`grant_type` 和 `scope` ，其中 `grant_type` 需要输入 `password`。

然后在下面等 Authorization 标签页中，选择 Basic Auth，然后输入 client 的 id 和 password。

{	
        "access_token": "02f501a9-c482-46d4-a455-bf79a0e0e728",	
        "token_type": "bearer",	
        "refresh_token": "0e62dddc-4f51-4cb5-81c3-5383fddbb81b",	
        "expires_in": 41741,	
        "scope": "read"	
    }

此时就可以获得 `access_token` 为:  `02f501a9-c482-46d4-a455-bf79a0e0e728`。需要注意的是这里是用 **user\_2** 获取的 token，即角色是 `ADMIN`。

然后我们再进行获取资源的验证：

![640][640 3]

使用 **GET** 方法，参数中输入 access\_token，值输入 `02f501a9-c482-46d4-a455-bf79a0e0e728` 。

点击提交后即可获取到结果。

如果我们不加上 token ，则会提示无权限。同样如果我们换上 **user\_1** 获取的 token，因 user\_1 的角色是 `USER`，此资源需要 `ADMIN` 权限，则此处还是会获取失败。

简单的例子就到这，后续有时间再加上其它功能吧，谢谢～

***干货文章，求转发！***

**推****荐****阅****读**

***1.***

***2. ***

***3. ***

***4.***

![640?][640 4]

**↓ 点在看，无Bug **

[640_wx_fmt_png]: /images/20210731/e404615ac50f46eab4a1ad774a14e836.png?wx_fmt=png
[640]: /images/20210731/df8bcabff48e410f9f74b853cce0244c.png
[640 1]: /images/20210731/36f611fda1ba44cf85cb2058896832f2.png
[640 2]: /images/20210731/c3c2df2263124956b12e8914def43ec6.png
[640 3]: /images/20210731/d556032c5cba45d3a14927c316ee948f.png
[640 4]: /images/20210731/30d23ec192af49d59fb6ee7a9154bbe2.png?