【微服务｜OAuth②】从0到1搭建一个oauth2.0服务

悠悠 2023-10-07 19:19 14阅读 0赞

#### 文章目录 ####

*  环境介绍
 *  授权服务器配置
 *   *  EnableAuthorizationServer
     *  配置客户端详细信息
     *  管理令牌
     *  令牌访问端点配置
     *   *  配置授权类型（Grant Types）
         *  配置授权端点的URL（Endpoint URLs）
     *  令牌端点的安全约束
     *  web安全配置

## 环境介绍 ##

Spring-Security-OAuth2是对OAuth2的一种实现，并且跟我们之前学习的Spring Security相辅相成，与Spring Cloud体系的集成也非常便利，接下来，我们需要对它进行学习，最终使用它来实现我们设计的分布式认证授权解 决方案。

OAuth2.0的服务提供方涵盖两个服务，即授权服务 (Authorization Server，也叫认证服务) 和资源服务 (Resource Server)，使用 Spring Security OAuth2 的时候你可以选择把它们在同一个应用程序中实现，也可以选择建立使用 同一个授权服务的多个资源服务。

授权服务 (Authorization Server）应包含对接入端以及登入用户的合法性进行验证并颁发token等功能，对令牌的请求端点由 Spring MVC 控制器进行实现，下面是配置一个认证服务必须要实现的endpoints：

*  AuthorizationEndpoint 服务于认证请求。默认 URL： /oauth/authorize 。
 *  TokenEndpoint 服务于访问令牌的请求。默认 URL： /oauth/token 。
 *  资源服务 (Resource Server)，应包含对资源的保护功能，对非法请求进行拦截，对请求中token进行解析鉴 权等，下面的过滤器用于实现 OAuth 2.0 资源服务：
 *  OAuth2AuthenticationProcessingFilter用来对请求给出的身份令牌解析鉴权。

认证流程如下：

1.  客户端请求UAA授权服务进行认证。
2.  认证通过后由UAA颁发令牌。
3.  客户端携带令牌Token请求资源服务。
4.  资源服务校验令牌的合法性，合法即返回资源信息。

## 授权服务器配置 ##

创建父工程、UAA服务、ORDER服务

### EnableAuthorizationServer ###

可以用 @EnableAuthorizationServer 注解并继承AuthorizationServerConfigurerAdapter来配置OAuth2.0 授权 服务器。

在Config包下创建AuthorizationServer：

@Configuration 
    @EnableAuthorizationServer 
    public class AuthorizationServer extends AuthorizationServerConfigurerAdapter {
         //略... }

AuthorizationServerConfigurerAdapter要求配置以下几个类，这几个类是由Spring创建的独立的配置对象，它们 会被Spring传入AuthorizationServerConfigurer中进行配置。

public class AuthorizationServerConfigurerAdapter implements AuthorizationServerConfigurer {
         
    
    	public AuthorizationServerConfigurerAdapter() {
        } 
    	
    	public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        } 
    	
    	public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        } 
    	
    	public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        } 
    	
    }

ClientDetailsServiceConfigurer：用来配置客户端详情服务（ClientDetailsService），客户端详情信息在这里进行初始化，你能够把客户端详情信息写死在这里或者是通过数据库来存储调取详情信息。

AuthorizationServerEndpointsConfigurer：用来配置令牌（token）的访问端点和令牌服务(token services)。

AuthorizationServerSecurityConfigurer：用来配置令牌端点的安全约束.

### 配置客户端详细信息 ###

ClientDetailsServiceConfigurer 能够使用内存或者JDBC来实现客户端详情服务（ClientDetailsService）， ClientDetailsService负责查找ClientDetails，而ClientDetails有几个重要的属性如下列表：

*  clientId：（必须的）用来标识客户的Id。
 *  secret：（需要值得信任的客户端）客户端安全码，如果有的话。
 *  scope：用来限制客户端的访问范围，如果为空（默认）的话，那么客户端拥有全部的访问范围。
 *  authorizedGrantTypes：此客户端可以使用的授权类型，默认为空。
 *  authorities：此客户端可以使用的权限（基于Spring Security authorities）。

客户端详情（Client Details）能够在应用程序运行的时候进行更新，可以通过访问底层的存储服务（例如将客户端详情存储在一个关系数据库的表中，就可以使用 JdbcClientDetailsService）或者通过自己实现 ClientRegistrationService接口（同时你也可以实现 ClientDetailsService 接口）来进行管理。

我们暂时使用内存方式存储客户端详情信息，配置如下:

@Override 
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        
    	 // clients.withClientDetails(clientDetailsService); 
    	 clients.inMemory()
    	 // 使用in‐memory存储 
    	 .withClient("c1")
    	 // client_id 
    	 .secret(new BCryptPasswordEncoder().encode("secret")) .resourceIds("res1") 
    	 .authorizedGrantTypes("authorization_code", "password","client_credentials","implicit","refresh_token")
    	 // 该client允许的授权类型 authorization_code,password,refresh_token,implicit,client_credentials 
    	 .scopes("all")
    	 // 允许的授权范围 
    	 .autoApprove(false) 
    	 //加上验证回调地址 
    	 .redirectUris("http://www.baidu.com"); 
    }

### 管理令牌 ###

AuthorizationServerTokenServices 接口定义了一些操作使得你可以对令牌进行一些必要的管理，令牌可以被用来加载身份信息，里面包含了这个令牌的相关权限。

自己可以创建 AuthorizationServerTokenServices 这个接口的实现，则需要继承 DefaultTokenServices 这个类， 里面包含了一些有用实现，你可以使用它来修改令牌的格式和令牌的存储。

默认的，当它尝试创建一个令牌的时候，是使用随机值来进行填充的，除了持久化令牌是委托一个 TokenStore 接口来实现以外，这个类几乎帮你做了所有的事情。

并且 TokenStore 这个接口有一个默认的实现，它就是 InMemoryTokenStore ，如其命名，所有的 令牌是被保存在了内存中。

除了使用这个类以外，你还可以使用一些其他的预定义实现，下面有几个版本，它们都实现了TokenStore接口：

*  InMemoryTokenStore：这个版本的实现是被默认采用的，它可以完美的工作在单服务器上（即访问并发量 压力不大的情况下，并且它在失败的时候不会进行备份），大多数的项目都可以使用这个版本的实现来进行 尝试，你可以在开发的时候使用它来进行管理，因为不会被保存到磁盘中，所以更易于调试。
 *  JdbcTokenStore：这是一个基于JDBC的实现版本，令牌会被保存进关系型数据库。使用这个版本的实现时， 你可以在不同的服务器之间共享令牌信息，使用这个版本的时候请注意把"spring-jdbc"这个依赖加入到你的 classpath当中。
 *  JwtTokenStore：这个版本的全称是 JSON Web Token（JWT），它可以把令牌相关的数据进行编码（因此对于后端服务来说，它不需要进行存储，这将是一个重大优势），但是它有一个缺点，那就是撤销一个已经授权令牌将会非常困难，所以它通常用来处理一个生命周期较短的令牌以及撤销刷新令牌（refresh\_token）。 另外一个缺点就是这个令牌占用的空间会比较大，如果你加入了比较多用户凭证信息。JwtTokenStore 不会保存任何数据，但是它在转换令牌值以及授权信息方面与 DefaultTokenServices 所扮演的角色是一样的。

1、定义TokenConfig  
在config包下定义TokenConfig，我们暂时先使用InMemoryTokenStore，生成一个普通的令牌。

@Configuration 
    public class TokenConfig {
         
    	@Bean 
    	public TokenStore tokenStore() {
         
    		return new InMemoryTokenStore(); 
    	} 
    }

2、定义AuthorizationServerTokenServices  
在AuthorizationServer中定义AuthorizationServerTokenServices

@Autowired 
    	private TokenStore tokenStore; 
    	@Autowired 
    	private ClientDetailsService clientDetailsService; 
    	@Bean 
    	public AuthorizationServerTokenServices tokenService() {
         
    		DefaultTokenServices service=new DefaultTokenServices(); 
    		service.setClientDetailsService(clientDetailsService); 
    		service.setSupportRefreshToken(true); 
    		service.setTokenStore(tokenStore); 
    		service.setAccessTokenValiditySeconds(7200); 
    		// 令牌默认有效期2小时 
    		service.setRefreshTokenValiditySeconds(259200); 
    		// 刷新令牌默认有效期3天 return service; 
    	}

### 令牌访问端点配置 ###

AuthorizationServerEndpointsConfigurer 这个对象的实例可以完成令牌服务以及令牌endpoint配置。

#### 配置授权类型（Grant Types） ####

AuthorizationServerEndpointsConfigurer 通过设定以下属性决定支持的授权类型（Grant Types）:

*  authenticationManager：认证管理器，当你选择了资源所有者密码（password）授权类型的时候，请设置 这个属性注入一个 AuthenticationManager 对象。
 *  userDetailsService：如果你设置了这个属性的话，那说明你有一个自己的 UserDetailsService 接口的实现， 或者你可以把这个东西设置到全局域上面去（例如 GlobalAuthenticationManagerConfigurer 这个配置对 象），当你设置了这个之后，那么 “refresh\_token” 即刷新令牌授权类型模式的流程中就会包含一个检查，用 来确保这个账号是否仍然有效，假如说你禁用了这个账户的话。
 *  authorizationCodeServices：这个属性是用来设置授权码服务的（即 AuthorizationCodeServices 的实例对 象），主要用于 “authorization\_code” 授权码类型模式。
 *  implicitGrantService：这个属性用于设置隐式授权模式，用来管理隐式授权模式的状态。
 *  tokenGranter：当你设置了这个东西（即 TokenGranter 接口实现），那么授权将会交由你来完全掌控，并 且会忽略掉上面的这几个属性，这个属性一般是用作拓展用途的，即标准的四种授权模式已经满足不了你的 需求的时候，才会考虑使用这个。

#### 配置授权端点的URL（Endpoint URLs） ####

AuthorizationServerEndpointsConfigurer 这个配置对象有一个叫做 pathMapping() 的方法用来配置端点URL链 接，它有两个参数：

*  第一个参数：String 类型的，这个端点URL的默认链接。
 *  第二个参数：String 类型的，你要进行替代的URL链接。

以上的参数都将以 “/” 字符为开始的字符串，框架的默认URL链接如下列表，可以作为这个 pathMapping() 方法的 第一个参数：

*  /oauth/authorize：授权端点。
 *  /oauth/token：令牌端点。
 *  /oauth/confirm\_access：用户确认授权提交端点。
 *  /oauth/error：授权服务错误信息端点。
 *  /oauth/check\_token：用于资源服务访问的令牌解析端点。
 *  /oauth/token\_key：提供公有密匙的端点，如果你使用JWT令牌的话。

需要注意的是授权端点这个URL应该被Spring Security保护起来只供授权用户访问.

在AuthorizationServer配置令牌访问端点

@Autowired 
    private AuthorizationCodeServices authorizationCodeServices; 
    @Autowired 
    private AuthenticationManager authenticationManager; 
    
    @Override 
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
         
    	endpoints 
    		.authenticationManager(authenticationManager) 
    		.authorizationCodeServices(authorizationCodeServices) 
    		.tokenServices(tokenService()) 
    		.allowedTokenEndpointRequestMethods(HttpMethod.POST); 
    } 
    
    @Bean 
    public AuthorizationCodeServices authorizationCodeServices() {
         
    	//设置授权码模式的授权码如何 存取，暂时采用内存方式 
    	return new InMemoryAuthorizationCodeServices(); 
    }

### 令牌端点的安全约束 ###

AuthorizationServerSecurityConfigurer：用来配置令牌端点(Token Endpoint)的安全约束，在 AuthorizationServer中配置如下.

@Override 
    public void configure(AuthorizationServerSecurityConfigurer security){
         
    	security 
    		.tokenKeyAccess("permitAll()") 
    		.checkTokenAccess("permitAll()") 
    		.allowFormAuthenticationForClients(); 
    }

1.  endpoint完全公开
2.  checkToken这个endpoint完全公开
3.  允许表单认证

既然要完成认证，它首先得知道客户端信息从哪儿读取，因此要进行客户端详情配置。

既然要颁发token，那必须得定义token的相关endpoint，以及token如何存取，以及客户端支持哪些类型的 token。

既然暴露除了一些endpoint，那对这些endpoint可以定义一些安全上的约束等。

### web安全配置 ###

@Configuration 
    @EnableGlobalMethodSecurity(securedEnabled = true,prePostEnabled = true) 
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
         
    
    	@Bean 
    	public PasswordEncoder passwordEncoder() {
         
    		return new BCryptPasswordEncoder(); 
    	}
    	
    	@Bean 
    	public AuthenticationManager authenticationManagerBean() throws Exception {
        
    		return super.authenticationManagerBean(); 
    	}
    	
    	 //安全拦截机制（最重要） 
    	 @Override 
    	 protected void configure(HttpSecurity http) throws Exception {
         
    		 http.csrf().disable() .authorizeRequests() 
    			 .antMatchers("/r/r1").hasAnyAuthority("p1") 
    			 .antMatchers("/login*").permitAll() 
    			 .anyRequest().authenticated()
    			 .and() .formLogin(); 
    	} 
    }