OAuth2 oauth_client_details表字段的详细说明

川长思鸟来 2022-11-22 12:48 284阅读 0赞

### **官方SQL表语句**：[查看SQL表结构，请点这里。][SQL] ###

官方有sql语句，但是没有详细的对每个字段做出详细的解释，让我们在使用OAuth2.0 的时候也有一些迷茫，这里主要针对主要的表以及字段进行说明。

其他表都比较简单也容易理解，重点主要时对于oauth\_client\_details，以及对应字段的意义，因为在实际使用的时候，该表中的字段是影响业务运行的关键。

先大致看一下流程

![OAuth2认证流程][OAuth2]

### 上图可以看到大致分为用户，认证服务Authorization Server，以及资源服务resource server，三方应用客户端client ###

### oauth\_client\_details ###

<table> 
 <tbody> 
  <tr> 
   <td>client_id</td> 
   <td>主键,必须唯一,不能为空.<br> 用于唯一标识每一个客户端(client); 在注册时必须填写(也可由服务端自动生成).<br> 对于不同的grant_type,该字段都是必须的. 在实际应用中的另一个名称叫appKey,与client_id是同一个概念.</td> 
  </tr> 
  <tr> 
   <td>resource_ids</td> 
   <td> <p>客户端所能访问的资源id集合,多个资源时用逗号(,)分隔,如: "unity-resource,mobile-resource".</p> <p>可以根据上图知道，我们有Resource Server资源服务器。<code>，资源服务器可以有多个，</code>我们可以为每一个Resource Server（一个微服务实例）设置一个resourceid。</p> <p>Authorization Server给client第三方客户端授权的时候，可以设置这个client可以访问哪一些Resource Server资源服务，如果没设置，就是对所有的Resource Server都有访问权限。</p> </td> 
  </tr> 
  <tr> 
   <td>client_secret</td> 
   <td>用于指定客户端(client)的访问密匙; 在注册时必须填写(也可由服务端自动生成).<br> 对于不同的grant_type,该字段都是必须的. 在实际应用中的另一个名称叫appSecret,与client_secret是同一个概念.</td> 
  </tr> 
  <tr> 
   <td>scope</td> 
   <td> <p>指定客户端申请的权限范围,可选值包括<em>read</em>,<em>write</em>,<em>trust</em>;若有多个权限范围用逗号(,)分隔,如: "read,write".</p> <p>@EnableGlobalMethodSecurity(prePostEnabled = true)启用方法级权限控制</p> <p>然后在方法上注解标识@PreAuthorize("#oauth2.hasScope('read')")</p> </td> 
  </tr> 
  <tr> 
   <td>authorized_grant_types</td> 
   <td>指定客户端支持的grant_type,可选值包括<em>authorization_code</em>,<em>password</em>,<em>refresh_token</em>,<em>implicit</em>,<em>client_credentials</em>, 若支持多个grant_type用逗号(,)分隔,如: "authorization_code,password".<br> 在实际应用中,当注册时,该字段是一般由服务器端指定的,而不是由申请者去选择的,最常用的grant_type组合有: "authorization_code,refresh_token"(针对通过浏览器访问的客户端); "password,refresh_token"(针对移动设备的客户端).<br><em>implicit</em>与<em>client_credentials</em>在实际中很少使用，可以根据自己的需要，在OAuth2.0 提供的地方进行扩展自定义的授权</td> 
  </tr> 
  <tr> 
   <td>web_server_redirect_uri</td> 
   <td>客户端的重定向URI,可为空, 当grant_type为<code>authorization_code</code>或<code>implicit</code>时, 在Oauth的流程中会使用并检查与注册时填写的redirect_uri是否一致. 下面分别说明: 
    <ul> 
     <li>当grant_type=<code>authorization_code</code>时, 第一步&nbsp;<code>从 spring-oauth-server获取 'code'</code>时客户端发起请求时必须有<code>redirect_uri</code>参数, 该参数的值必须与&nbsp;<code>web_server_redirect_uri</code>的值一致. 第二步&nbsp;<code>用 'code' 换取 'access_token'</code>&nbsp;时客户也必须传递相同的<code>redirect_uri</code>.<br> 在实际应用中,&nbsp;<em>web_server_redirect_uri</em>在注册时是必须填写的, 一般用来处理服务器返回的<code>code</code>, 验证<code>state</code>是否合法与通过<code>code</code>去换取<code>access_token</code>值.<br> 在<a href="http://git.oschina.net/mkk/spring-oauth-client" rel="nofollow">spring-oauth-client</a>项目中, 可具体参考<code>AuthorizationCodeController.java</code>中的<code>authorizationCodeCallback</code>方法.</li> 
     <li>当grant_type=<code>implicit</code>时通过<code>redirect_uri</code>的hash值来传递<code>access_token</code>值.如: 
      <ul> 
       <li>http://localhost:7777/spring-oauth-client/implicit#access_token=dc891f4a-ac88-4ba6-8224-a2497e013865&amp;token_type=bearer&amp;expires_in=43199</li> 
      </ul></li> 
     <li>然后客户端通过JS等从hash值中取到<code>access_token</code>值.</li> 
    </ul></td> 
  </tr> 
  <tr> 
   <td>authorities</td> 
   <td> <p><span style="color:#f33b45;">&nbsp;@PreAuthorize("hasAuthority('admin')")可以在方法上标志 用户或者说client 需要说明样的权限</span></p> <p>指定客户端所拥有的Spring Security的权限值,可选, 若有多个权限值,用逗号(,)分隔, 如: "ROLE_UNITY,ROLE_USER".<br> 对于是否要设置该字段的值,要根据不同的grant_type来判断, 若客户端在Oauth流程中需要用户的用户名(username)与密码(password)的(<code>authorization_code</code>,<code>password</code>),<br> 则该字段可以不需要设置值,因为服务端将根据用户在服务端所拥有的权限来判断是否有权限访问对应的API.<br> 但如果客户端在Oauth流程中不需要用户信息的(<code>implicit</code>,<code>client_credentials</code>),<br> 则该字段必须要设置对应的权限值, 因为服务端将根据该字段值的权限来判断是否有权限访问对应的API.</p> <p>(请在<a href="http://git.oschina.net/mkk/spring-oauth-client" rel="nofollow">spring-oauth-client</a>项目中来测试不同grant_type时authorities的变化)</p> </td> 
  </tr> 
  <tr> 
   <td>access_token_validity</td> 
   <td>设定客户端的access_token的有效时间值(单位:秒),可选, 若不设定值则使用默认的有效时间值(60 * 60 * 12, 12小时).<br> 在服务端获取的access_token JSON数据中的<code>expires_in</code>字段的值即为当前access_token的有效时间值.<br> 在项目中, 可具体参考<code>DefaultTokenServices.java</code>中属性<code>accessTokenValiditySeconds</code>.<br> 在实际应用中, 该值一般是由服务端处理的, 不需要客户端自定义.</td> 
  </tr> 
  <tr> 
   <td>refresh_token_validity</td> 
   <td>设定客户端的refresh_token的有效时间值(单位:秒),可选, 若不设定值则使用默认的有效时间值(60 * 60 * 24 * 30, 30天).<br> 若客户端的grant_type不包括<code>refresh_token</code>,则不用关心该字段 在项目中, 可具体参考<code>DefaultTokenServices.java</code>中属性<code>refreshTokenValiditySeconds</code>.<br> 在实际应用中, 该值一般是由服务端处理的, 不需要客户端自定义.</td> 
  </tr> 
  <tr> 
   <td>additional_information</td> 
   <td>这是一个预留的字段,在Oauth的流程中没有实际的使用,可选,但若设置值,必须是JSON格式的数据,如: <pre>{"country":"CN","country_code":"086"}</pre> 按照<code>spring-security-oauth</code>项目中对该字段的描述<br><em>Additional information for this client, not need by the vanilla OAuth protocol but might be useful, for example,for storing descriptive information.</em><br> (详见<code>ClientDetails.java</code>的<code>getAdditionalInformation()</code>方法的注释)&nbsp;在实际应用中, 可以用该字段来存储关于客户端的一些其他信息,如客户端的国家,地区,注册时的IP地址等等.</td> 
  </tr> 
  <tr> 
   <td>create_time</td> 
   <td>数据的创建时间,精确到秒,由数据库在插入数据时取当前系统时间自动生成(扩展字段)</td> 
  </tr> 
  <tr> 
   <td>autoapprove</td> 
   <td>设置用户是否自动Approval操作, 默认值为 'false', 可选值包括 'true','false', 'read','write'.<br> 该字段只适用于grant_type="authorization_code"的情况,当用户登录成功后,若该值为'true'或支持的scope值,则会跳过用户Approve的页面, 直接授权.</td> 
  </tr> 
  <tr> 
   <td colspan="2"> <p>在项目中,主要操作<code>oauth_client_details</code>表的类是<code>JdbcClientDetailsService.java</code>, 更多的细节请参考该类.<br> 也可以根据实际的需要,去扩展或修改该类的实现.</p> </td> 
  </tr> 
 </tbody> 
</table>

# oauth\_client\_token #

<table> 
 <tbody> 
  <tr> 
   <td>字段名</td> 
   <td>字段说明</td> 
  </tr> 
  <tr> 
   <td>create_time</td> 
   <td>数据的创建时间,精确到秒,由数据库在插入数据时取当前系统时间自动生成(扩展字段)</td> 
  </tr> 
  <tr> 
   <td>token_id</td> 
   <td>从服务器端获取到的access_token的值.</td> 
  </tr> 
  <tr> 
   <td>token</td> 
   <td>这是一个二进制的字段,&nbsp;存储的数据是OAuth2AccessToken.java对象序列化后的二进<br> 制数据.</td> 
  </tr> 
  <tr> 
   <td>authentication_id</td> 
   <td>该字段具有唯一性,&nbsp;是根据当前的username(如果有),client_id与scope通过MD5加密<br> 生成的.&nbsp;具体实现请参考DefaultClientKeyGenerator.java类.</td> 
  </tr> 
  <tr> 
   <td>user_name</td> 
   <td>登录时的用户名</td> 
  </tr> 
  <tr> 
   <td>client_id</td> 
  </tr> 
 </tbody> 
</table>

该表用于在客户端系统中存储从服务端获取的token数据, 在spring-oauth-server项目中未使用到. 对  
oauth\_client\_token表的主要操作在JdbcClientTokenServices.java类中, 更多的细节请参考该类.

#    oauth\_access\_token #

<table> 
 <tbody> 
  <tr> 
   <td>字段名</td> 
   <td>字段说明</td> 
  </tr> 
  <tr> 
   <td>create_time</td> 
   <td>数据的创建时间,精确到秒,由数据库在插入数据时取当前系统时间自动生成(扩展字段)</td> 
  </tr> 
  <tr> 
   <td>token_id</td> 
   <td>该字段的值是将access_token的值通过MD5加密后存储的.</td> 
  </tr> 
  <tr> 
   <td>token</td> 
   <td>存储将OAuth2AccessToken.java对象序列化后的二进制数据,&nbsp;是真实的AccessToken<br> 的数据值.</td> 
  </tr> 
  <tr> 
   <td>authentication_id</td> 
   <td>该字段具有唯一性,&nbsp;其值是根据当前的username(如果有),client_id与scope通过MD5<br> 加密生成的.&nbsp;具体实现请参考DefaultAuthenticationKeyGenerator.java类.</td> 
  </tr> 
  <tr> 
   <td>user_name</td> 
   <td>登录时的用户名,&nbsp;若客户端没有用户名(如grant_type=“client_credentials”),则该值等<br> 于client_id</td> 
  </tr> 
  <tr> 
   <td>client_id</td> 
  </tr> 
  <tr> 
   <td>authentication</td> 
   <td>存储将OAuth2Authentication.java对象序列化后的二进制数据.</td> 
  </tr> 
  <tr> 
   <td>refresh_token</td> 
   <td>该字段的值是将refresh_token的值通过MD5加密后存储的.&nbsp;在项目中,主要操作<br> oauth_access_token表的对象是JdbcTokenStore.java.&nbsp;更多的细节请参考该类</td> 
  </tr> 
 </tbody> 
</table>

# oauth\_refresh\_token #

在项目中,主要操作oauth\_refresh\_token表的对象是JdbcTokenStore.java. (与操作oauth\_access\_token表的对象  
一样);更多的细节请参考该类. 如果客户端的grant\_type不支持refresh\_token,则不会使用该表.

# oauth\_code #

<table> 
 <tbody> 
  <tr> 
   <td>字段名</td> 
   <td>字段说明</td> 
  </tr> 
  <tr> 
   <td>create_time</td> 
   <td>数据的创建时间,精确到秒,由数据库在插入数据时取当前系统时间自动生成(扩展字段)</td> 
  </tr> 
  <tr> 
   <td>code</td> 
   <td>存储服务端系统生成的code的值(未加密).</td> 
  </tr> 
  <tr> 
   <td>authentication</td> 
   <td>存储将AuthorizationRequestHolder.java对象序列化后的二进制数据.</td> 
  </tr> 
 </tbody> 
</table>

在项目中,主要操作oauth\_code表的对象是JdbcAuthorizationCodeServices.java. 更多的细节请参考该类。 只有当  
grant\_type为"authorization\_code"时,该表中才会有数据产生; 其他的grant\_type没有使用该表。

[SQL]: https://github.com/spring-projects/spring-security-oauth/blob/master/spring-security-oauth2/src/test/resources/schema.sql
[OAuth2]: /images/20221120/f5911a6c15994e129f0f8fc0350f6bf4.png