SpringBootSecurity学习（17）前后端分离版之 OAuth2.0 数据库（JDBC）存储客户端

水深无声 2023-06-05 15:53 113阅读 0赞

# 自动批准授权码 #

前面我们授权的流程中，第一步获取授权码的时候，都会经历一个授权是否同意页面：

![file][]

这个流程就像第三方登录成功后，提问是否允许获取昵称和头像信息的页面一样，这个过程其实是可以自动同意的，需要在客户端配置中，增加一个自动批准：

![file][file 1]

这样我们申请授权码直接就可以得到：

![file][file 2]

在流程需要自动完成的时候，需要这样配置，如果需要用户点击同意，那么这里需要设置为false，不写默认也是false。

# 客户端信息整理 #

上面的自动批准只是客户端配置中一个小的配置，下面我们来系统整理一下客户端所有可配置的内容。首先来看现在已经配置的6个字段：

![file][file 3]

上面的6个字段是我们最常用的也是不可或缺的客户端信息。不过客户端的配置还有很多其它的字段，我们来整体看一下：

![file][file 4]

上面的11个字段基本上包括了所有的第三方客户端的配置内容。下面来一个个详细讲解：

*  withClient 方法：用来配置 client*id ，是必须配置的，用于唯一标识每一个客户端(client)；注册时必须填写(也可以服务端自动生成)，这个字段是必须的，实际应用也有叫app*key
 *  resourceIds 方法：用来配置resource\_ids ，表示客户端能访问的资源id集合，注册客户端时，根据实际需要可选择资源id，也可以根据不同的注册流程，赋予对应的额资源id。我们可以为每一个Resource Server（资源服务）设置一个resourceid。再给client授权的时候，可以设置这个client可以访问哪一些资源实例，如果没设置，就是对所有的resource都有访问权限。
 *  secret 方法：用来配置 client*secret ，注册填写或者服务端自动生成，实际应用也有叫app*secret,
 *  scopes 方法 ：用来配置 scope ，指定client的权限范围，比如读写权限，比如移动端还是web端权限，all表示全部权限
 *  authorizedGrantTypes 方法：用来配置 authorized*grant*types ，可选值， 授权码模式:authorization*code,密码模式:password,刷新token: refresh*token, 隐式模式: implicit: 客户端模式: client\_credentials。支持多个用逗号分隔
 *  redirectUris 方法： 用来配置 web*server*redirect*uri ，客户端重定向uri，authorization*code和implicit需要该值进行校验，注册时填写
 *  authorities 方法：用来配置 authorities ，指定用户的权限范围，如果授权的过程需要用户登陆，该字段不生效，implicit和client\_credentials需要
 *  accessTokenValiditySeconds 方法，用来配置 access*token*validity ，设置access\_token的有效时间(秒),默认(12小时)
 *  refreshTokenValiditySeconds 方法：用来配置 refresh*token*validity ，设置refresh\_token有效期(秒)，默认(30天)
 *  additionalInformation 方法： 用来配置 additional\_information ，表示补充信息，可空，值必须是json格式
 *  autoApprove 方法：用来配置autoapprove ，默认false,适用于authorization*code模式,设置用户是否自动approval操作,设置true跳过用户确认授权操作页面，直接跳到redirect*uri

下面我们在数据库中新建一张表，定义这是十一个字段，表名为 oauth*client*details：

![file][file 5]

注意，这里表名必须是 oauth*client*details 是 oauth规定的表名，也是默认的jdbc操作中的表名。我们来增加一条记录：

![file][file 6]

相比前面的例子，这里多了一个resource\_ids的字段值，其它的都和前面的配置一样。注意secret存储的是加密后的密文，加密前是secret。

授权服务多了一个resource\_id，资源服务也得配置自己的id：

![file][file 7]

# 默认的jdbc管理客户端 #

将配置死的客户端信息改为jdbc从客户端查询的方式很简单，首先引入数据库依赖：

![file][file 8]

然后配置数据源：

![file][file 9]

最后修改授权配置类的客户端配置：

![file][file 10]

可以看到修改后的客户端配置很简单，只需要在客户端配置一个jdbc数据源即可，查询方法是自动实现的。关于实现，可以参考源码：

*  org.springframework.security.oauth2.provider.client.JdbcClientDetailsService

里面有写好的sql语句和增删改查逻辑：

![file][file 11]

其中有个更新秘钥的方法，是需要加密方式的：

![file][file 12]

所以我们可以在jdbc方法后面配置加密方式：

![file][file 13]

# 测试 #

上面的除了数据库，其它的配置修改很简单，下面来测试一下：

![file][file 14]

访问结果：

![file][file 15]

具体流程和前面一样。

代码地址： https://gitee.com/blueses/spring-boot-security 19 20

[file]: /images/20230601/8470e37367f1443b9d4e39467ed9a8d1.png
[file 1]: /images/20230601/15dcd748047c4aaa8adbbd529023e3b9.png
[file 2]: /images/20230601/9be00a64424b4434a106b2dba44335bb.png
[file 3]: /images/20230601/6d7f19892d684cd483d94acc05f18e71.png
[file 4]: /images/20230601/91caa3231eba4a1fb764a19b075f5e3e.png
[file 5]: /images/20230601/a9ce2e211c374da2a62e0af15834af21.png
[file 6]: /images/20230601/dd5fc18b85d0495a948639c4b4f57953.png
[file 7]: /images/20230601/5d598a7cf1bc4e1bba3d470b44e76be2.png
[file 8]: /images/20230601/1b523d9d33094af2a7198dfadabd6d59.png
[file 9]: /images/20230601/3ba149be714f4e60ac79cc84e16d05e9.png
[file 10]: /images/20230601/2aec3d7e9c4b4721af20fe304d778b95.png
[file 11]: /images/20230601/32ce3ffae7be460eaa95c5ac2162a693.png
[file 12]: /images/20230601/bd56a67e36fa47e9a5161d2d232ec82e.png
[file 13]: /images/20230601/31a62e0662c14ffe819ad86d6438018a.png
[file 14]: /images/20230601/24c0b58cb64245578013936e69ca176a.png
[file 15]: /images/20230601/967d98d9961a4eea8bec753050414da9.png