Spring Cloud入门-Oauth2授权之JWT集成(Hoxton版本)

刺骨的言语ヽ痛彻心扉 2021-09-21 01:28 353阅读 0赞

文章目录

    • Spring Cloud入门系列汇总
    • 摘要
    • JWT简介
      • JWT的组成
      • JWT实例
    • 创建oauth2-jwt-server模块
    • oauth2中存储令牌的方式
      • 使用Redis存储令牌
      • 使用JWT存储令牌
    • 扩展JWT中存储的内容
    • Java中解析JWT中的内容
    • 刷新令牌
    • 使用到的模块
    • 项目源码地址

项目使用的Spring Cloud为Hoxton版本,Spring Boot为2.2.2.RELEASE版本

Spring Cloud入门系列汇总















































































































序号 内容 链接地址
1 Spring Cloud入门-十分钟了解Spring Cloud https://blog.csdn.net/ThinkWon/article/details/103715146
2 Spring Cloud入门-Eureka服务注册与发现(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103726655
3 Spring Cloud入门-Ribbon服务消费者(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103729080
4 Spring Cloud入门-Hystrix断路器(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103732497
5 Spring Cloud入门-Hystrix Dashboard与Turbine断路器监控(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103734664
6 Spring Cloud入门-OpenFeign服务消费者(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103735751
7 Spring Cloud入门-Zuul服务网关(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103738851
8 Spring Cloud入门-Config分布式配置中心(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103739628
9 Spring Cloud入门-Bus消息总线(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103753372
10 Spring Cloud入门-Sleuth服务链路跟踪(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103753896
11 Spring Cloud入门-Consul服务注册发现与配置中心(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103756139
12 Spring Cloud入门-Gateway服务网关(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103757927
13 Spring Cloud入门-Admin服务监控中心(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103758697
14 Spring Cloud入门-Oauth2授权的使用(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103761687
15 Spring Cloud入门-Oauth2授权之JWT集成(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103763364
16 Spring Cloud入门-Oauth2授权之基于JWT完成单点登录(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103766368
17 Spring Cloud入门-Nacos实现注册和配置中心(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103769680
18 Spring Cloud入门-Sentinel实现服务限流、熔断与降级(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103770879
19 Spring Cloud入门-Seata处理分布式事务问题(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103786102
20 Spring Cloud入门-汇总篇(Hoxton版本) https://blog.csdn.net/ThinkWon/article/details/103786588

摘要

Spring Cloud Security 为构建安全的SpringBoot应用提供了一系列解决方案,结合Oauth2还可以实现更多功能,比如使用JWT令牌存储信息,刷新令牌功能,本文将对其结合JWT使用进行详细介绍。

JWT简介

JWT是JSON WEB TOKEN的缩写,它是基于 RFC 7519 标准定义的一种可以安全传输的的JSON对象,由于使用了数字签名,所以是可信任和安全的。

JWT的组成

JWT token的格式:header.payload.signature;

header中用于存放签名的生成算法;

  1. {
  2. "alg": "HS256",
  3. "typ": "JWT"
  4. }

payload中用于存放数据,比如过期时间、用户名、用户所拥有的权限等;

  1. {
  2. "user_name": "jourwon",
  3. "scope": [
  4. "all"
  5. ],
  6. "exp": 1577678449,
  7. "authorities": [
  8. "admin"
  9. ],
  10. "jti": "618cda6a-dfce-4966-b0df-00607f693ab5",
  11. "client_id": "admin"
  12. }

signature为以header和payload生成的签名,一旦header和payload被篡改,验证将失败。

JWT实例

这是一个JWT的字符串:

  1. eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX25hbWUiOiJqb3Vyd29uIiwic2NvcGUiOlsiYWxsIl0sImV4cCI6MTU3NzY3Nzc2MywiYXV0aG9yaXRpZXMiOlsiYWRtaW4iXSwianRpIjoiMGY4NmE2ODUtZDIzMS00M2E0LWJhZjYtNzAwMmE0Yzg1YmM1IiwiY2xpZW50X2lkIjoiYWRtaW4iLCJlbmhhbmNlIjoiZW5oYW5jZSBpbmZvIn0.RLrkBQEOdCikiz0SsJ8ZsVcxk8GkAyKsOj5fZytgNF8

可以在该网站上获得解析结果:https://jwt.io/

在这里插入图片描述

创建oauth2-jwt-server模块

该模块只是对oauth2-server模块的扩展,直接复制过来扩展下下即可。

oauth2中存储令牌的方式

在上一节中我们都是把令牌存储在内存中的,这样如果部署多个服务,就会导致无法使用令牌的问题。 Spring Cloud Security中有两种存储令牌的方式可用于解决该问题,一种是使用Redis来存储,另一种是使用JWT来存储。

使用Redis存储令牌

在pom.xml中添加Redis相关依赖:

  1. <dependency>
  2. <groupId>org.springframework.boot</groupId>
  3. <artifactId>spring-boot-starter-data-redis</artifactId>
  4. </dependency>
  5. <dependency>
  6. <groupId>org.springframework.boot</groupId>
  7. <artifactId>spring-boot-starter-web</artifactId>
  8. </dependency>
  9. <dependency>
  10. <groupId>org.springframework.cloud</groupId>
  11. <artifactId>spring-cloud-starter-oauth2</artifactId>
  12. </dependency>
  13. <dependency>
  14. <groupId>org.springframework.cloud</groupId>
  15. <artifactId>spring-cloud-starter-security</artifactId>
  16. </dependency>

在application.yml中添加redis相关配置:

  1. server:
  2. port: 9401
  3. spring:
  4. application:
  5. name: oauth2-jwt-server
  6. redis:
  7. # redis相关配置
  8. host: 10.172.0.201
  9. database: 0

添加在Redis中存储令牌的配置:

  1. @Configuration
  2. public class RedisTokenStoreConfig {
  3. @Autowired
  4. private RedisConnectionFactory redisConnectionFactory;
  5. @Bean
  6. public TokenStore redisTokenStore() {
  7. return new RedisTokenStore(redisConnectionFactory);
  8. }
  9. }

在授权服务器配置中指定令牌的存储策略为Redis:

  1. @Configuration
  2. @EnableAuthorizationServer
  3. public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
  4. @Autowired
  5. private PasswordEncoder passwordEncoder;
  6. @Autowired
  7. private AuthenticationManager authenticationManager;
  8. @Autowired
  9. private UserService userService;
  10. @Autowired
  11. @Qualifier("redisTokenStore")
  12. private TokenStore tokenStore;
  13. /** * 使用密码模式需要配置 */
  14. @Override
  15. public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
  16. endpoints.authenticationManager(authenticationManager)
  17. .userDetailsService(userService)
  18. //配置令牌存储策略
  19. .tokenStore(tokenStore);
  20. }
  21. //省略代码...
  22. }

运行项目后使用密码模式来获取令牌,访问如下地址:http://localhost:9401/oauth/token

在这里插入图片描述

进行获取令牌操作,可以发现令牌已经被存储到Redis中。

在这里插入图片描述

使用JWT存储令牌

添加使用JWT存储令牌的配置:

  1. @Configuration
  2. public class JwtTokenStoreConfig {
  3. @Bean
  4. @Primary
  5. public TokenStore jwtTokenStore() {
  6. return new JwtTokenStore(jwtAccessTokenConverter());
  7. }
  8. @Bean
  9. public JwtTokenEnhancer jwtTokenEnhancer() {
  10. return new JwtTokenEnhancer();
  11. }
  12. @Bean
  13. public JwtAccessTokenConverter jwtAccessTokenConverter() {
  14. JwtAccessTokenConverter jwtAccessTokenConverter = new JwtAccessTokenConverter();
  15. // 配置jwt使用的密钥
  16. jwtAccessTokenConverter.setSigningKey("test_key");
  17. return jwtAccessTokenConverter;
  18. }
  19. }

在授权服务器配置中指定令牌的存储策略为JWT:

  1. @Configuration
  2. @EnableAuthorizationServer
  3. public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
  4. @Autowired
  5. private PasswordEncoder passwordEncoder;
  6. @Autowired
  7. private AuthenticationManager authenticationManager;
  8. @Autowired
  9. private UserService userService;
  10. @Autowired
  11. @Qualifier("jwtTokenStore")
  12. private TokenStore tokenStore;
  13. @Autowired
  14. private JwtAccessTokenConverter jwtAccessTokenConverter;
  15. @Autowired
  16. private JwtTokenEnhancer jwtTokenEnhancer;
  17. /** * 使用密码模式需要配置 */
  18. @Override
  19. public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
  20. endpoints.authenticationManager(authenticationManager)
  21. .userDetailsService(userService)
  22. //配置令牌存储策略
  23. .tokenStore(tokenStore)
  24. .accessTokenConverter(jwtAccessTokenConverter);
  25. }
  26. //省略代码...
  27. }

运行项目后使用密码模式来获取令牌,访问如下地址:http://localhost:9401/oauth/token

在这里插入图片描述

发现获取到的令牌已经变成了JWT令牌,将access_token拿到https://jwt.io/ 网站上去解析下可以获得其中内容。

  1. {
  2. "exp": 1577678092,
  3. "user_name": "jourwon",
  4. "authorities": [
  5. "admin"
  6. ],
  7. "jti": "87db4bdf-2936-420d-87b9-fb580e255a4d",
  8. "client_id": "admin",
  9. "scope": [
  10. "all"
  11. ]
  12. }

扩展JWT中存储的内容

有时候我们需要扩展JWT中存储的内容,这里我们在JWT中扩展一个key为enhance,value为enhance info的数据。

继承TokenEnhancer实现一个JWT内容增强器:

  1. public class JwtTokenEnhancer implements TokenEnhancer {
  2. @Override
  3. public OAuth2AccessToken enhance(OAuth2AccessToken oAuth2AccessToken, OAuth2Authentication oAuth2Authentication) {
  4. Map<String, Object> info = new HashMap<>();
  5. info.put("enhance", "enhance info");
  6. ((DefaultOAuth2AccessToken) oAuth2AccessToken).setAdditionalInformation(info);
  7. return oAuth2AccessToken;
  8. }
  9. }

创建一个JwtTokenEnhancer实例:

  1. @Configuration
  2. public class JwtTokenStoreConfig {
  3. //省略代码...
  4. @Bean
  5. public JwtTokenEnhancer jwtTokenEnhancer() {
  6. return new JwtTokenEnhancer();
  7. }
  8. }

在授权服务器配置中配置JWT的内容增强器:

  1. @Configuration
  2. @EnableAuthorizationServer
  3. public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
  4. @Autowired
  5. private PasswordEncoder passwordEncoder;
  6. @Autowired
  7. private AuthenticationManager authenticationManager;
  8. @Autowired
  9. private UserService userService;
  10. @Autowired
  11. @Qualifier("jwtTokenStore")
  12. private TokenStore tokenStore;
  13. @Autowired
  14. private JwtAccessTokenConverter jwtAccessTokenConverter;
  15. @Autowired
  16. private JwtTokenEnhancer jwtTokenEnhancer;
  17. /** * 使用密码模式需要配置 * * @param endpoints * @throws Exception */
  18. @Override
  19. public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
  20. TokenEnhancerChain tokenEnhancerChain = new TokenEnhancerChain();
  21. List<TokenEnhancer> delegates = new ArrayList<>();
  22. // 配置jwt内容增强器
  23. delegates.add(jwtTokenEnhancer);
  24. delegates.add(jwtAccessTokenConverter);
  25. tokenEnhancerChain.setTokenEnhancers(delegates);
  26. endpoints.authenticationManager(authenticationManager)
  27. .userDetailsService(userService)
  28. // 配置令牌存储策略
  29. .tokenStore(tokenStore)
  30. .accessTokenConverter(jwtAccessTokenConverter)
  31. .tokenEnhancer(tokenEnhancerChain);
  32. }
  33. // 省略代码...
  34. }

运行项目后使用密码模式来获取令牌,之后对令牌进行解析,发现已经包含扩展的内容。

  1. {
  2. "user_name": "jourwon",
  3. "scope": [
  4. "all"
  5. ],
  6. "exp": 1577678449,
  7. "authorities": [
  8. "admin"
  9. ],
  10. "jti": "618cda6a-dfce-4966-b0df-00607f693ab5",
  11. "client_id": "admin",
  12. "enhance": "enhance info"
  13. }

Java中解析JWT中的内容

如果我们需要获取JWT中的信息,可以使用一个叫jjwt的工具包。

在pom.xml中添加相关依赖:

  1. <dependency>
  2. <groupId>io.jsonwebtoken</groupId>
  3. <artifactId>jjwt</artifactId>
  4. <version>0.9.1</version>
  5. </dependency>

修改UserController类,使用jjwt工具类来解析Authorization头中存储的JWT内容。

  1. @RestController
  2. @RequestMapping("/user")
  3. public class UserController {
  4. @GetMapping("/getCurrentUser")
  5. public Object getCurrentUser(Authentication authentication, HttpServletRequest request) {
  6. String header = request.getHeader("Authorization");
  7. String token = StrUtil.subAfter(header, "bearer", false);
  8. return Jwts.parser()
  9. .setSigningKey("test_key".getBytes(StandardCharsets.UTF_8))
  10. .parseClaimsJws(token)
  11. .getBody();
  12. }
  13. }

将令牌放入Authorization头中,访问如下地址获取信息:http://localhost:9401/user/getCurrentUser

在这里插入图片描述

刷新令牌

在Spring Cloud Security 中使用oauth2时,如果令牌失效了,可以使用刷新令牌通过refresh_token的授权模式再次获取access_token。

只需修改授权服务器的配置,添加refresh_token的授权模式即可。

  1. @Configuration
  2. @EnableAuthorizationServer
  3. public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
  4. @Override
  5. public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
  6. clients.inMemory()
  7. // 配置client_id
  8. .withClient("admin")
  9. // 配置client_secret
  10. .secret(passwordEncoder.encode("admin123456"))
  11. // 配置访问token的有效期
  12. .accessTokenValiditySeconds(3600)
  13. // 配置刷新token的有效期
  14. .refreshTokenValiditySeconds(864000)
  15. // 配置redirect_uri,用于授权成功后的跳转
  16. // .redirectUris("http://www.baidu.com")
  17. // 单点登录时配置
  18. .redirectUris("http://localhost:9501/login")
  19. // 自动授权配置
  20. .autoApprove(true)
  21. // 配置申请的权限范围
  22. .scopes("all")
  23. // 配置grant_type,表示授权类型
  24. .authorizedGrantTypes("authorization_code", "password", "refresh_token");
  25. }
  26. }

使用刷新令牌模式来获取新的令牌,访问如下地址:http://localhost:9401/oauth/token

在这里插入图片描述

使用到的模块

  1. springcloud-learning
  2. └── oauth2-jwt-server -- 使用jwtoauth2授权测试服务

项目源码地址

GitHub项目源码地址

发表评论

表情:
评论列表 (有 0 条评论,353人围观)

还没有评论,来说两句吧...

相关阅读