Spring Cloud Security OAuth2 实现资源服务配置以及测试

柔情只为你懂 2023-03-13 03:18 12阅读 0赞

@EnableResourceServer 注解到一个 @Configuration 配置类上，并且必须使用 ResourceServerConfigurer 这个 配置对象来进行配置（可以选择继承自 ResourceServerConfigurerAdapter 然后覆写其中的方法，参数就是这个 对象的实例），下面是一些可以配置的属性：

ResourceServerSecurityConfigurer中主要包括：

**（1）tokenServices**：ResourceServerTokenServices 类的实例，用来实现令牌服务。

**（2）tokenStore**：TokenStore类的实例，指定令牌如何访问，与tokenServices配置可选

**（3）resourceId**：这个资源服务的ID，这个属性是可选的，但是推荐设置并在授权服务中进行验证。 其他的拓展属性例如 tokenExtractor 令牌提取器用来提取请求中的令牌。

HttpSecurity配置这个与Spring Security类似：

（1）请求匹配器，用来设置需要进行保护的资源路径，默认的情况下是保护资源服务的全部路径。

（2）通过http.authorizeRequests()来设置受保护资源的访问规则

（3）其他的自定义权限保护规则通过 HttpSecurity 来进行配置

@EnableResourceServer  注解自动增加了一个类型为  OAuth2AuthenticationProcessingFilter  的过滤器链

编写 ResouceServerConfifig ：

package com.oauth.security.config;
    
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.http.SessionCreationPolicy;
    import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;
    import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;
    
    /**
     * @ClassName ResouceServerConfig
     * @Description
     * @Author
     * @Date 2020/5/10 14:17
     * @Version 1.0
     **/
    public class ResouceServerConfig extends ResourceServerConfigurerAdapter {
        public static final String RESOURCE_ID = "res1";
    
        @Override
        public void configure(ResourceServerSecurityConfigurer resources) {
            resources.resourceId(RESOURCE_ID).tokenServices(tokenService()).stateless(true);
        }
    
        @Override
        public void configure(HttpSecurity http) throws Exception {
            http.authorizeRequests()
                    .antMatchers("/**").access("#oauth2.hasScope('all')")
                    .and().csrf().disable()
                    .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        }
    }

ResourceServerTokenServices 是组成授权服务的另一半，如果你的授权服务和资源服务在同一个应用程序上的 话，你可以使用 DefaultTokenServices ，这样的话，你就不用考虑关于实现所有必要的接口的一致性问题。如果 你的资源服务器是分离开的，那么你就必须要确保能够有匹配授权服务提供的 ResourceServerTokenServices，它 知道如何对令牌进行解码。

令牌解析方法： 使用 DefaultTokenServices 在资源服务器本地配置令牌存储、解码、解析方式 使用 RemoteTokenServices 资源服务器通过 HTTP 请求来解码令牌，每次都请求授权服务器端点 /oauth/check\_token 使用授权服务的 /oauth/check\_token 端点你需要在授权服务将这个端点暴露出去，以便资源服务可以进行访问， 这在咱们授权服务配置中已经提到了，下面是一个例子,在这个例子中，我们在授权服务中配置了 /oauth/check\_token 和 /oauth/token\_key 这两个端点：

//资源服务令牌解析服务
        @Bean
        public ResourceServerTokenServices tokenService() {
            //使用远程服务请求授权服务器校验token,必须指定校验token 的url、client_id，client_secret
            RemoteTokenServices service = new RemoteTokenServices();
            service.setCheckTokenEndpointUrl("http://localhost:53020/uaa/oauth/check_token");
            service.setClientId("c1");
            service.setClientSecret("secret");
            return service;
        }

编写controller：

package com.oauth.security.controller;
    
    import org.springframework.security.access.prepost.PreAuthorize;
    import org.springframework.web.bind.annotation.GetMapping;
    import org.springframework.web.bind.annotation.RestController;
    
    /**
     * @ClassName OrderController
     * @Description
     * @Author 
     * @Date 2020/5/10 14:49
     * @Version 1.0
     **/
    @RestController
    public class OrderController {
        @GetMapping(value = "/r1")
        @PreAuthorize("hasAnyAuthority('p1')")
        public String r1() {
            return "访问资源1";
        }
    }

配置security conifg

package com.oauth.security.config;
    
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    
    /**
     * @ClassName WebSecurityConfig
     * @Description
     * @Author
     * @Date 2020/5/10 15:16
     * @Version 1.0
     **/
    @Configuration
    @EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
    
    
        //安全拦截机制（最重要）
        @Override
        protected void configure(HttpSecurity http) throws Exception {
            http.csrf().disable().authorizeRequests()
            // .antMatchers("/r/r1").hasAuthority("p2")
            // .antMatchers("/r/r2").hasAuthority("p2")
            .antMatchers("/r/**").authenticated()//所有/r/**的请求必须认证通
            .anyRequest().permitAll()//除了/r/**，其它的请求可以访问 ;
        }
    }

然后我们来测试一下：

（1）启动两个服务

（2）申请令牌

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDU4ODQ5NQ_size_16_color_FFFFFF_t_70][]

（3）访问资源（token的参数名称为：Authorization，值为：Bearer token值）

这里是在header里面的

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDU4ODQ5NQ_size_16_color_FFFFFF_t_70 1][]

github：git@github.com:Zesystem/OAuth2.0.git

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDU4ODQ5NQ_size_16_color_FFFFFF_t_70]: /images/20230312/2d4fae2c034343e6aeecba856cb1d121.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDU4ODQ5NQ_size_16_color_FFFFFF_t_70 1]: /images/20230312/01539be876ea4695a625f1076f140d65.png