OAuth2认证流程

布满荆棘的人生 2023-10-04 23:54 14阅读 0赞

**目录**

什么是OAuth2

1. OAuth2认证流程

1、用户点击微信扫码

2、用户授权黑马网站访问用户信息

3、黑马程序员的网站获取到授权码

4、携带授权码请求微信认证服务器申请令牌

5、微信认证服务器向黑马程序员的网站响应令牌

6、黑马程序员网站请求微信资源服务器获取资源即用户信息。

7、资源服务器返回受保护资源即用户信息

8、黑马网站接收到用户信息，此时用户在黑马网站登录成功。

Oauth2.0认证流程如下：

2. OAuth2的授权模式

3. 授权码模式

4.授权码模式测试

5. 密码模式

6. JWT

6. 普通令牌的问题

1.什么是JWT

2、JWT令牌的优点：

3、缺点：

Payload

Signature

为什么JWT可以防止篡改？

7、测试生成JWT令牌

--------------------

## **什么是****OAuth2** ##

## **1. OAuth2****认证流程** ##

在前边我们提到微信扫码认证，这是一种第三方认证的方式，这种认证方式是基于OAuth2协议实现，

OAUTH协议为用户资源的授权提供了一个安全的、开放而又简易的标准。同时，任何第三方都可以使用OAUTH认证服务，任何服务提供商都可以实现自身的OAUTH认证服务，因而OAUTH是开放的。业界提供了OAUTH的多种实现如PHP、JavaScript，Java，Ruby等各种语言开发包，大大节约了程序员的时间，因而OAUTH是简易的。互联网很多服务如Open API，很多大公司如Google，Yahoo，Microsoft等都提供了OAUTH认证服务，这些都足以说明OAUTH标准逐渐成为开放资源授权的标准。

Oauth协议目前发展到2.0版本，1.0版本过于复杂，2.0版本已得到广泛应用。

参考：[oAuth\_百度百科][oAuth]

Oauth协议：[RFC 6749: The OAuth 2.0 Authorization Framework][RFC 6749_ The OAuth 2.0 Authorization Framework]

下边分析一个Oauth2认证的例子，黑马程序员网站使用微信认证扫码登录的过程：

![c968899fd2624186bb76d649d09507ba.png][]

具体流程如下：

#### 1、用户点击微信扫码 ####

用户进入黑马程序的登录页面，点击微信的图标开打微信扫码界面。

![dade84caea2e4e83ba6417cb98751ad9.png][]

![42a988420fc84d378aa8aa09473de26c.png][]

微信扫码的目的是通过微信认证登录黑马程序员官网，黑马程序员网站需要从微信获取当前用户的身份信息才会让当前用户在黑马网站登录成功。

现在搞清楚几个概念：

资源：用户信息，在微信中存储。

资源拥有者：用户是用户信息资源的拥有者。

认证服务：微信负责认证当前用户的身份，负责为客户端颁发令牌。

客户端：客户端会携带令牌请求微信获取用户信息，黑马程序员网站即客户端，黑马网站需要在浏览器打开。

#### 2、用户授权黑马网站访问用户信息 ####

资源拥有者扫描二维码表示资源拥有者请求微信进行认证，微信认证通过向用户手机返回授权页面，如下图：

![a18332dc96ca42fdbb44bd908c6aa636.png][]

询问用户是否授权黑马程序员访问自己在微信的用户信息，用户点击“确认登录”表示同意授权，微信认证服务器会颁发一个授权码给黑马程序员的网站。

只有资源拥有者同意微信才允许黑马网站访问资源。

#### 3、黑马程序员的网站获取到授权码 ####

#### 4、携带授权码请求微信认证服务器申请令牌 ####

此交互过程用户看不到。

#### 5、微信认证服务器向黑马程序员的网站响应令牌 ####

此交互过程用户看不到。

#### 6、黑马程序员网站请求微信资源服务器获取资源即用户信息。 ####

黑马程序员网站携带令牌请求访问微信服务器获取用户的基本信息。

#### 7、资源服务器返回受保护资源即用户信息 ####

#### 8、黑马网站接收到用户信息，此时用户在黑马网站登录成功。 ####

### Oauth3.0认证流程如下： ###

引自Oauth2.0协议rfc6749 [RFC 6749: The OAuth 2.0 Authorization Framework][RFC 6749_ The OAuth 2.0 Authorization Framework]

![9e82ab61bf37403285011db3db62bac0.png][]

Oauth2包括以下角色：

1、客户端

本身不存储资源，需要通过资源拥有者的授权去请求资源服务器的资源，比如：手机客户端、浏览器等。

上边示例中黑马网站即为客户端，它需要通过浏览器打开。

2、资源拥有者

通常为用户，也可以是应用程序，即该资源的拥有者。

A表示 客户端请求资源拥有者授权。

B表示 资源拥有者授权客户端即黑马网站访问自己的用户信息。

3、授权服务器（也称认证服务器）

认证服务器对资源拥有者进行认证，还会对客户端进行认证并颁发令牌。

C 客户端即黑马网站携带授权码请求认证。

D认证通过颁发令牌。

4、资源服务器

存储资源的服务器。

E表示客户端即黑马网站携带令牌请求资源服务器获取资源。

F表示资源服务器校验令牌通过后提供受保护资源。

### **2. OAuth3****的授权模式** ###

Spring Security支持OAuth2认证，OAuth2提供授权码模式、密码模式、简化模式、客户端模式等四种授权模式，前边举的微信扫码登录的例子就是基于授权码模式，这四种模式中授权码模式和密码模式应用较多，本节使用Spring Security演示授权码模式、密码模式，其余两种请自行查阅相关资料。

## **3.** **授权码模式** ##

OAuth2的几个授权模式是根据不同的应用场景以不同的方式去获取令牌，最终目的是要获取认证服务颁发的令牌，最终通过令牌去获取资源。

授权码模式简单理解是使用授权码去获取令牌，要想获取令牌先要获取授权码，授权码的获取需要资源拥有者亲自授权同意才可以获取。

下图是授权码模式交互图：

![1efb03239cd64f18987b557d444a73eb.png][]

还以黑马网站微信扫码登录为例进行说明：

1、用户打开浏览器。

2、通过浏览器访问客户端即黑马网站。

3、用户通过浏览器向认证服务请求授权，请求授权时会携带客户端的URL，此URL为下发授权码的重定向地址。

4、认证服务向资源拥有者返回授权页面。

5、资源拥有者亲自授权同意。

6、通过浏览器向认证服务发送授权同意。

7、认证服务向客户端地址重定向并携带授权码。

8、客户端即黑马网站收到授权码。

9、客户端携带授权码向认证服务申请令牌。

10、认证服务向客户端颁发令牌。

### **4.授权码模式测试** ###

要想测试授权模式首先要配置授权服务器即上图中的认证服务器，需要配置授权服务及令牌策略。

在config包下创建AuthorizationServer.java、TokenConfig.java。

1、AuthorizationServer用 @EnableAuthorizationServer 注解标识并继承AuthorizationServerConfigurerAdapter来配置OAuth2.0 授权服务器。

**AuthorizationServer类**

>     package com.xuecheng.auth.config;
>     
>     import org.springframework.beans.factory.annotation.Autowired;
>     import org.springframework.context.annotation.Configuration;
>     import org.springframework.http.HttpMethod;
>     import org.springframework.security.authentication.AuthenticationManager;
>     import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
>     import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer;
>     import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
>     import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
>     import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;
>     import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerSecurityConfigurer;
>     import org.springframework.security.oauth2.provider.token.AuthorizationServerTokenServices;
>     
>     import javax.annotation.Resource;
>     
>     /**
>      * @author Mr.M
>      * @version 1.0
>      * @description 授权服务器配置
>      * @date 2022/9/26 22:25
>      */
>     @Configuration
>     @EnableAuthorizationServer
>     public class AuthorizationServer extends AuthorizationServerConfigurerAdapter {
>     
>         @Resource(name = "authorizationServerTokenServicesCustom")
>         private AuthorizationServerTokenServices authorizationServerTokenServices;
>     
>         @Autowired
>         private AuthenticationManager authenticationManager;
>     
>     
>         //客户端详情服务
>         @Override
>         public void configure(ClientDetailsServiceConfigurer clients)
>                 throws Exception {
>             clients.inMemory()// 使用in-memory存储
>                     .withClient("XcWebApp")// client_id
>                     .secret("XcWebApp")//客户端密钥
>     //                .secret(new BCryptPasswordEncoder().encode("XcWebApp"))//客户端密钥
>                     .resourceIds("xuecheng-plus")//资源列表
>                     .authorizedGrantTypes("authorization_code", "password", "client_credentials", "implicit", "refresh_token")// 该client允许的授权类型authorization_code,password,refresh_token,implicit,client_credentials
>                     .scopes("all")// 允许的授权范围
>                     .autoApprove(false)//false跳转到授权页面
>                     //客户端接收授权码的重定向地址
>                     .redirectUris("http://www.xuecheng-plus.com")
>             ;
>         }
>     
>     
>         //令牌端点的访问配置
>         @Override
>         public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
>             endpoints
>                     .authenticationManager(authenticationManager)//认证管理器
>                     .tokenServices(authorizationServerTokenServices)//令牌管理服务
>                     .allowedTokenEndpointRequestMethods(HttpMethod.POST);
>         }
>     
>         //令牌端点的安全配置
>         @Override
>         public void configure(AuthorizationServerSecurityConfigurer security) {
>             security
>                     .tokenKeyAccess("permitAll()")                    //oauth/token_key是公开
>                     .checkTokenAccess("permitAll()")                  //oauth/check_token公开
>                     .allowFormAuthenticationForClients()                //表单认证（申请令牌）
>             ;
>         }
>     
>     }

**TokenConfig类**

**1****）****ClientDetailsServiceConfigurer**：用来配置客户端详情服务（ClientDetailsService），

随便一个客户端都可以随便接入到它的认证服务吗？答案是否定的，服务提供商会给批准接入的客户端一个身份，用于接入时的凭据，有客户端标识和客户端秘钥，在这里配置批准接入的客户端的详细信息。

**2****）****AuthorizationServerEndpointsConfigurer**：用来配置令牌（token）的访问端点和令牌服务(token services)。

**3****）****AuthorizationServerSecurityConfigurer**：用来配置令牌端点的安全约束.

**2****、****TokenConfig****为令牌策略配置类**

暂时先使用InMemoryTokenStore在内存存储令牌，令牌的有效期等信息配置如下：

> *//令牌管理服务*  
> 
> 
>     @Bean(name = "authorizationServerTokenServicesCustom")
>     public AuthorizationServerTokenServices tokenService() {
>         DefaultTokenServices service = new DefaultTokenServices();
>         service.setSupportRefreshToken(true);//支持刷新令牌
>         service.setTokenStore(tokenStore);//令牌存储策略
>         service.setAccessTokenValiditySeconds(7200); // 令牌默认有效期2小时
>         service.setRefreshTokenValiditySeconds(259200); // 刷新令牌默认有效期3天
>         return service;
>     }

3、配置认证管理bean

>     package com.xuecheng.auth.config;
>     
>     import org.springframework.beans.factory.annotation.Autowired;
>     import org.springframework.context.annotation.Bean;
>     import org.springframework.security.authentication.AuthenticationManager;
>     import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
>     import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
>     import org.springframework.security.config.annotation.web.builders.HttpSecurity;
>     import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
>     import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
>     import org.springframework.security.core.userdetails.User;
>     import org.springframework.security.core.userdetails.UserDetailsService;
>     import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
>     import org.springframework.security.crypto.password.NoOpPasswordEncoder;
>     import org.springframework.security.crypto.password.PasswordEncoder;
>     import org.springframework.security.provisioning.InMemoryUserDetailsManager;
>     
>     /**
>      * @author Mr.M
>      * @version 1.0
>      * @description 安全管理配置
>      * @date 2023/3/16 10:25
>      */
>     @EnableWebSecurity
>     @EnableGlobalMethodSecurity(securedEnabled = true,prePostEnabled = true)
>     public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
>     
>     
>         @Bean
>         public AuthenticationManager authenticationManagerBean() throws Exception {
>             return super.authenticationManagerBean();
>         }
>     
>         //配置用户信息服务
>         @Bean
>         public UserDetailsService userDetailsService() {
>             //这里配置用户信息,这里暂时使用这种方式将用户存储在内存中
>             InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
>             manager.createUser(User.withUsername("zhangsan").password("123").authorities("p1").build());
>             manager.createUser(User.withUsername("lisi").password("456").authorities("p2").build());
>             return manager;
>         }
>     
>         @Bean
>         public PasswordEncoder passwordEncoder() {
>     //        //密码为明文方式
>             return NoOpPasswordEncoder.getInstance();
>     //        return new BCryptPasswordEncoder();
>         }
>     
>         //配置安全拦截机制
>         @Override
>         protected void configure(HttpSecurity http) throws Exception {
>             http
>                     .authorizeRequests()
>                     .antMatchers("/r/**").authenticated()//访问/r开始的请求需要认证通过
>                     .anyRequest().permitAll()//其它请求全部放行
>                     .and()
>                     .formLogin().successForwardUrl("/login-success");//登录成功跳转到/login-success
>         }
>     
>     
>     
>     }

重启认证服务

1、get请求获取授权码

地址:[http://localhost:63070/auth/oauth/authorize?client\_id=XcWebApp&response\_type=code&scope=all&redirect\_uri=http://www.xuecheng-plus.com][http_localhost_63070_auth_oauth_authorize_client_id_XcWebApp_response_type_code_scope_all_redirect_uri_http_www.xuecheng-plus.com]

参数列表如下：

*  client\_id：客户端准入标识。

*  response\_type：授权码模式固定为code。

*  scope：客户端权限。

*  redirect\_uri：跳转uri，当授权码申请成功后会跳转到此地址，并在后边带上code参数（授权码）。

输入账号zhangsan、密码123登录成功，输入/oauth/authorize?client\_id=XcWebApp&response\_type=code&scope=all&redirect\_uri=http://www.xuecheng-plus.com

显示授权页面

![26f843501e264ea7b85d3f3004455981.png][]

授权“XcWebApp”访问自己的受保护资源?

选择同意。

2、请求成功，重定向至http://www.xuecheng-plus.com/?code=授权码，比如：http://www.xuecheng-plus.com/?code=Wqjb5H

3、使用httpclient工具post申请令牌

/oauth/token?client\_id=XcWebApp&client\_secret=XcWebApp&grant\_type=authorization\_code&code=授权码&redirect\_uri=http://www.xuecheng-plus.com/

参数列表如下

*  client\_id：客户端准入标识。

*  client\_secret：客户端秘钥。

*  grant\_type：授权类型，填写authorization\_code，表示授权码模式

*  code：授权码，就是刚刚获取的授权码，注意：授权码只使用一次就无效了，需要重新申请。

*  redirect\_uri：申请授权码时的跳转url，一定和申请授权码时用的redirect\_uri一致。

httpclient脚本如下：

>     ### 授权码模式
>     ### 第一步申请授权码(浏览器请求)/oauth/authorize?client_id=c1&response_type=code&scope=all&redirect_uri=http://www.xuecheng-plus.com
>     ### 第二步申请令牌
>     POST {
>        {auth_host}}/auth/oauth/token?client_id=XcWebApp&client_secret=XcWebApp&grant_type=authorization_code&code=p3kUAq&redirect_uri=http://www.xuecheng-plus.com

申请令牌成功如下所示：

> \{  
> "access\_token": "358fb627-a688-4f4c-9b0e-d69be1b5fbc2",  
> "token\_type": "bearer",  
> "refresh\_token": "bb56ff72-233d-4354-901e-4341817a8e50",  
> "expires\_in": 7199,  
> "scope": "all"  
> \}

说明：

1、access\_token，访问令牌，用于访问资源使用。

2、token\_type，bearer是在RFC6750中定义的一种token类型，在携带令牌访问资源时需要在head中加入bearer 空格 令牌内容

3、refresh\_token，当令牌快过期时使用刷新令牌可以再次生成令牌。

4、expires\_in：过期时间（秒）

5、scope，令牌的权限范围，服务端可以根据令牌的权限范围去对令牌授权。

## **5. 密码模式** ##

密码模式相对授权码模式简单，授权码模式需要借助浏览器供用户亲自授权，密码模式不用借助浏览器，如下图：

![88922c6f752e42598582a7c6e39dcd2b.png][]

1、资源拥有者提供账号和密码

2、客户端向认证服务申请令牌，请求中携带账号和密码

3、认证服务校验账号和密码正确颁发令牌。

开始测试：

1、POST请求获取令牌

/oauth/token?client\_id=XcWebApp&client\_secret=XcWebApp&grant\_type=password&username=shangsan&password=123

参数列表如下：

*  client\_id：客户端准入标识。

*  client\_secret：客户端秘钥。

*  grant\_type：授权类型，填写password表示密码模式

*  username：资源拥有者用户名。

*  password：资源拥有者密码。

2、授权服务器将令牌（access\_token）发送给client

使用httpclient进行测试

>     ### 密码模式
>     POST {
>        {auth_host}}/auth/oauth/token?client_id=XcWebApp&client_secret=XcWebApp&grant_type=password&username=zhangsan&password=123

返回示例：

>   
> \{  
> "access\_token": "358fb627-a688-4f4c-9b0e-d69be1b5fbc2",  
> "token\_type": "bearer",  
> "refresh\_token": "bb56ff72-233d-4354-901e-4341817a8e50",  
> "expires\_in": 6209,  
> "scope": "all"  
> \}  
>

这种模式十分简单，但是却意味着直接将用户敏感信息泄漏给了client，因此这就说明这种模式只能用于client是我们自己开发的情况下。

## 6. JWT ##

## 6. 普通令牌的问题 ##

客户端申请到令牌，接下来客户端携带令牌去访问资源，到资源服务器将会校验令牌的合法性。

资源服务器如何校验令牌的合法性？

我们以OAuth2的密码模式为例进行说明：

![7e9a99be6db74dbc8b09392a891a57cf.png][]

从第4步开始说明：

1、客户端携带令牌访问资源服务获取资源。

2、资源服务远程请求认证服务校验令牌的合法性

3、如果令牌合法资源服务向客户端返回资源。

这里存在一个问题：

就是校验令牌需要远程请求认证服务，客户端的每次访问都会远程校验，执行性能低。

如果能够让资源服务自己校验令牌的合法性将省去远程请求认证服务的成本，提高了性能。如下图：

![970e13c8d04f47019127e7ab7f5726db.png][]

如何解决上边的问题，实现资源服务自行校验令牌。

令牌采用JWT格式即可解决上边的问题，用户认证通过后会得到一个JWT令牌，JWT令牌中已经包括了用户相关的信息，客户端只需要携带JWT访问资源服务，资源服务根据事先约定的算法自行完成令牌校验，无需每次都请求认证服务完成授权。

#### **1.什么是****JWT** ####

什么是JWT？

JSON Web Token（JWT）是一种使用JSON格式传递数据的网络令牌技术，它是一个开放的行业标准（RFC 7519），它定义了一种简洁的、自包含的协议格式，用于在通信双方传递json对象，传递的信息经过数字签名可以被验证和信任，它可以使用HMAC算法或使用RSA的公钥/私钥对来签名，防止内容篡改。官网：[JSON Web Tokens - jwt.io][]

使用JWT可以实现无状态认证，什么是无状态认证？

传统的基于session的方式是有状态认证，用户登录成功将用户的身份信息存储在服务端，这样加大了服务端的存储压力，并且这种方式不适合在分布式系统中应用。

如下图，当用户访问应用服务，每个应用服务都会去服务器查看session信息，如果没有则认证用户没有登录，此时就会重新认证，而解决这个问题的方法是Session复制、Session黏贴。

![40981b2b7e45480283812c2b3b977877.png][]

如果是基于令牌技术在分布式系统中实现认证则服务端不用存储session，可以将用户身份信息存储在令牌中，用户认证通过后认证服务颁发令牌给用户，用户将令牌存储在客户端，去访问应用服务时携带令牌去访问，服务端从jwt解析出用户信息。这个过程就是无状态认证。

![3f8c69541c7d434184bd66351e836204.png][]

#### 2、JWT令牌的优点： ####

1、jwt基于json，非常方便解析。

2、可以在令牌中自定义丰富的内容，易扩展。

3、通过非对称加密算法及数字签名技术，JWT防止篡改，安全性高。

4、资源服务使用JWT可不依赖认证服务即可完成授权。

#### 3、缺点： ####

１、JWT令牌较长，占存储空间比较大。

下边是一个JWT令牌的示例：

<table> 
 <tbody> 
  <tr> 
   <td style="background-color:#f5f6f7;border-color:#dee0e3;width:15cm;"> <p style="margin-left:0;text-align:left;"><span style="color:#646a73;">Plain Text</span><br><span style="color:#000000;">eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsicmVzMSJdLCJ1c2VyX25hbWUiOiJ6aGFuZ3NhbiIsInNjb3BlIjpbImFsbCJdLCJleHAiOjE2NjQyNTQ2NzIsImF1dGhvcml0aWVzIjpbInAxIl0sImp0aSI6Ijg4OTEyYjJkLTVkMDUtNGMxNC1iYmMzLWZkZTk5NzdmZWJjNiIsImNsaWVudF9pZCI6ImMxIn0.wkDBL7roLrvdBG2oGnXeoXq-zZRgE9IVV2nxd-ez_oA</span></p> </td> 
  </tr> 
 </tbody> 
</table>

JWT令牌由三部分组成，每部分中间使用点（.）分隔，比如：xxxxx.yyyyy.zzzzz

1.  Header

头部包括令牌的类型（即JWT）及使用的哈希算法（如HMAC SHA256或RSA）

一个例子如下：

下边是Header部分的内容

将上边的内容使用Base64Url编码，得到一个字符串就是JWT令牌的第一部分。

1.  #### Payload ####

第二部分是负载，内容也是一个json对象，它是存放有效信息的地方，它可以存放jwt提供的现成字段，比如：iss（签发者）,exp（过期时间戳）, sub（面向的用户）等，也可自定义字段。

此部分不建议存放敏感信息，因为此部分可以解码还原原始内容。

最后将第二部分负载使用Base64Url编码，得到一个字符串就是JWT令牌的第二部分。

一个例子：

<table> 
 <tbody> 
  <tr> 
   <td style="background-color:#f5f6f7;border-color:#dee0e3;width:15cm;"> <p style="margin-left:0;text-align:left;"><span style="color:#646a73;">JSON</span><br><span style="color:#000000;">&nbsp; { <br> &nbsp;&nbsp;&nbsp; "sub": "1234567890",<br> &nbsp;&nbsp;&nbsp; "name": "456",<br> &nbsp;&nbsp;&nbsp; "admin": true<br> &nbsp; }</span></p> </td> 
  </tr> 
 </tbody> 
</table>

1.  #### Signature ####

第三部分是签名，此部分用于防止jwt内容被篡改。

这个部分使用base64url将前两部分进行编码，编码后使用点（.）连接组成字符串，最后使用header中声明签名算法进行签名。

一个例子：

<table> 
 <tbody> 
  <tr> 
   <td style="background-color:#f5f6f7;border-color:#dee0e3;width:15cm;"> <p style="margin-left:0;text-align:left;"><span style="color:#646a73;">JSON</span><br><span style="color:#000000;">&nbsp; HMACSHA256(<br> &nbsp;&nbsp;&nbsp; base64UrlEncode(header) + "." +<br> &nbsp;&nbsp;&nbsp; base64UrlEncode(payload),<br> &nbsp;&nbsp;&nbsp; secret)</span></p> </td> 
  </tr> 
 </tbody> 
</table>

base64UrlEncode(header)：jwt令牌的第一部分。

base64UrlEncode(payload)：jwt令牌的第二部分。

secret：签名所使用的密钥。

#### 为什么JWT可以防止篡改？ ####

第三部分使用签名算法对第一部分和第二部分的内容进行签名，常用的签名算法是 HS256，常见的还有md5,sha 等，签名算法需要使用密钥进行签名，密钥不对外公开，并且签名是不可逆的，如果第三方更改了内容那么服务器验证签名就会失败，要想保证验证签名正确必须保证内容、密钥与签名前一致。

![21d90fbe8e414224a02652588292af94.png][]

从上图可以看出认证服务和资源服务使用相同的密钥，这叫对称加密，对称加密效率高，如果一旦密钥泄露可以伪造jwt令牌。

JWT还可以使用非对称加密，认证服务自己保留私钥，将公钥下发给受信任的客户端、资源服务，公钥和私钥是配对的，成对的公钥和私钥才可以正常加密和解密，非对称加密效率低但相比对称加密非对称加密更安全一些。

### 7、**测试生成****JWT****令牌** ###

在认证服务中配置jwt令牌服务，即可实现生成jwt格式的令牌,

>     package com.xuecheng.auth.config;
>     
>     import org.springframework.beans.factory.annotation.Autowired;
>     import org.springframework.context.annotation.Bean;
>     import org.springframework.context.annotation.Configuration;
>     import org.springframework.security.oauth2.provider.token.AuthorizationServerTokenServices;
>     import org.springframework.security.oauth2.provider.token.DefaultTokenServices;
>     import org.springframework.security.oauth2.provider.token.TokenEnhancerChain;
>     import org.springframework.security.oauth2.provider.token.TokenStore;
>     import org.springframework.security.oauth2.provider.token.store.InMemoryTokenStore;
>     import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter;
>     import org.springframework.security.oauth2.provider.token.store.JwtTokenStore;
>     
>     import java.util.Arrays;
>     
>     /**
>      * @author Administrator
>      * @version 1.0
>      **/
>     @Configuration
>     public class TokenConfig {
>     
>         private String SIGNING_KEY = "mq123";
>     
>         @Autowired
>         TokenStore tokenStore;
>     
>     //    @Bean
>     //    public TokenStore tokenStore() {
>     //        //使用内存存储令牌（普通令牌）
>     //        return new InMemoryTokenStore();
>     //    }
>     
>         @Autowired
>         private JwtAccessTokenConverter accessTokenConverter;
>     
>         @Bean
>         public TokenStore tokenStore() {
>             return new JwtTokenStore(accessTokenConverter());
>         }
>     
>         @Bean
>         public JwtAccessTokenConverter accessTokenConverter() {
>             JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
>             converter.setSigningKey(SIGNING_KEY);
>             return converter;
>         }
>     
>         //令牌管理服务
>         @Bean(name = "authorizationServerTokenServicesCustom")
>         public AuthorizationServerTokenServices tokenService() {
>             DefaultTokenServices service = new DefaultTokenServices();
>             service.setSupportRefreshToken(true);//支持刷新令牌
>             service.setTokenStore(tokenStore);//令牌存储策略
>     
>             TokenEnhancerChain tokenEnhancerChain = new TokenEnhancerChain();
>             tokenEnhancerChain.setTokenEnhancers(Arrays.asList(accessTokenConverter));
>             service.setTokenEnhancer(tokenEnhancerChain);
>     
>             service.setAccessTokenValiditySeconds(7200); // 令牌默认有效期2小时
>             service.setRefreshTokenValiditySeconds(259200); // 刷新令牌默认有效期3天
>             return service;
>         }
>     }

重启认证服务。

使用httpclient通过密码模式申请令牌

>     ### 密码模式
>     POST {
>        {auth_host}}/auth/oauth/token?client_id=XcWebApp&client_secret=XcWebApp&grant_type=password&username=zhangsan&password=123

生成jwt的示例如下：

> \{  
> "access\_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsieHVlY2hlbmctcGx1cyJdLCJ1c2VyX25hbWUiOiJ6aGFuZ3NhbiIsInNjb3BlIjpbImFsbCJdLCJleHAiOjE2Nzg5NzQwNzIsImF1dGhvcml0aWVzIjpbInAxIl0sImp0aSI6ImFiNTk4YWQxLWQ0ZDgtNDMyMS04YzZiLThjODhiMmNkOGNlNSIsImNsaWVudF9pZCI6IlhjV2ViQXBwIn0.fViynXPfvFLthJT2SEyKKImN95vJlxjX-8Iogc4WGJs",  
> "token\_type": "bearer",  
> "refresh\_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsieHVlY2hlbmctcGx1cyJdLCJ1c2VyX25hbWUiOiJ6aGFuZ3NhbiIsInNjb3BlIjpbImFsbCJdLCJhdGkiOiJhYjU5OGFkMS1kNGQ4LTQzMjEtOGM2Yi04Yzg4YjJjZDhjZTUiLCJleHAiOjE2NzkyMjYwNzIsImF1dGhvcml0aWVzIjpbInAxIl0sImp0aSI6Ijc5NWZmM2ZlLWQ0ZjYtNDViMC1hNGU5LTNiMTQyZjMyMjMwOCIsImNsaWVudF9pZCI6IlhjV2ViQXBwIn0.qbusRwv1RqdF9C-F2p1vaDdiLdm7pYH928G\_rvGVMqQ",  
> "expires\_in": 7199,  
> "scope": "all",  
> "jti": "ab598ad1-d4d8-4321-8c6b-8c88b2cd8ce5"  
> \}

1、access\_token，生成的jwt令牌，用于访问资源使用。

2、token\_type，bearer是在RFC6750中定义的一种token类型，在携带jwt访问资源时需要在head中加入bearer jwt令牌内容

3、refresh\_token，当jwt令牌快过期时使用刷新令牌可以再次生成jwt令牌。

4、expires\_in：过期时间（秒）

5、scope，令牌的权限范围，服务端可以根据令牌的权限范围去对令牌授权。

6、jti：令牌的唯一标识。

我们可以通过check\_token接口校验jwt令牌

>     ###校验jwt令牌
>     POST {
>        {auth_host}}/auth/oauth/check_token?token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsieHVlY2hlbmctcGx1cyJdLCJ1c2VyX25hbWUiOiJ6aGFuZ3NhbiIsInNjb3BlIjpbImFsbCJdLCJleHAiOjE2Nzg5NzQwNzIsImF1dGhvcml0aWVzIjpbInAxIl0sImp0aSI6ImFiNTk4YWQxLWQ0ZDgtNDMyMS04YzZiLThjODhiMmNkOGNlNSIsImNsaWVudF9pZCI6IlhjV2ViQXBwIn0.fViynXPfvFLthJT2SEyKKImN95vJlxjX-8Iogc4WGJs

响应示例如下：

> \{  
> "aud": \[  
> "xuecheng-plus"  
> \],  
> "user\_name": "zhangsan",  
> "scope": \[  
> "all"  
> \],  
> "active": true,  
> "exp": 1678974072,  
> "authorities": \[  
> "p1"  
> \],  
> "jti": "ab598ad1-d4d8-4321-8c6b-8c88b2cd8ce5",  
> "client\_id": "XcWebApp"  
> \}

[oAuth]: https://baike.baidu.com/item/oAuth/7153134?fr=aladdin
[RFC 6749_ The OAuth 2.0 Authorization Framework]: https://tools.ietf.org/html/rfc6749
[c968899fd2624186bb76d649d09507ba.png]: https://img-blog.csdnimg.cn/c968899fd2624186bb76d649d09507ba.png
[dade84caea2e4e83ba6417cb98751ad9.png]: https://img-blog.csdnimg.cn/dade84caea2e4e83ba6417cb98751ad9.png
[42a988420fc84d378aa8aa09473de26c.png]: https://img-blog.csdnimg.cn/42a988420fc84d378aa8aa09473de26c.png
[a18332dc96ca42fdbb44bd908c6aa636.png]: https://img-blog.csdnimg.cn/a18332dc96ca42fdbb44bd908c6aa636.png
[9e82ab61bf37403285011db3db62bac0.png]: https://img-blog.csdnimg.cn/9e82ab61bf37403285011db3db62bac0.png
[1efb03239cd64f18987b557d444a73eb.png]: https://img-blog.csdnimg.cn/1efb03239cd64f18987b557d444a73eb.png
[http_localhost_63070_auth_oauth_authorize_client_id_XcWebApp_response_type_code_scope_all_redirect_uri_http_www.xuecheng-plus.com]: http://localhost:63070/auth/oauth/authorize?client_id=XcWebApp&response_type=code&scope=all&redirect_uri=http://www.xuecheng-plus.com
[26f843501e264ea7b85d3f3004455981.png]: https://img-blog.csdnimg.cn/26f843501e264ea7b85d3f3004455981.png
[88922c6f752e42598582a7c6e39dcd2b.png]: https://img-blog.csdnimg.cn/88922c6f752e42598582a7c6e39dcd2b.png
[7e9a99be6db74dbc8b09392a891a57cf.png]: https://img-blog.csdnimg.cn/7e9a99be6db74dbc8b09392a891a57cf.png
[970e13c8d04f47019127e7ab7f5726db.png]: https://img-blog.csdnimg.cn/970e13c8d04f47019127e7ab7f5726db.png
[JSON Web Tokens - jwt.io]: https://jwt.io/
[40981b2b7e45480283812c2b3b977877.png]: https://img-blog.csdnimg.cn/40981b2b7e45480283812c2b3b977877.png
[3f8c69541c7d434184bd66351e836204.png]: https://img-blog.csdnimg.cn/3f8c69541c7d434184bd66351e836204.png
[21d90fbe8e414224a02652588292af94.png]: https://img-blog.csdnimg.cn/21d90fbe8e414224a02652588292af94.png