Spring Authorization Server的使用

article/2025/10/12 6:30:17

Spring Authorization Server的使用

  • 一、背景
  • 二、前置知识
  • 三、需求
  • 四、核心代码编写
    • 1、引入授权服务器依赖
    • 2、创建授权服务器用户
    • 3、创建授权服务器和客户端
  • 五、测试
    • 1、授权码流程
      • 1、获取授权码
      • 2、根据授权码获取token
      • 3、流程演示
    • 2、根据刷新令牌获取token
    • 3、客户端模式
    • 4、撤销令牌
    • 5、查看token 的信息
    • 6、查看JWK信息
  • 六、完整代码
  • 七、参考地址

一、背景

在 Spring Security 5中，现在已经不提供了 授权服务器 的配置，但是 授权服务器 在我们平时的开发过程中用的还是比较多的。不过 Spring 官方提供了一个 由Spring官方主导，社区驱动的授权服务 spring-authorization-server，目前已经到了 0.1.2 的版本，不过该项目还是一个实验性的项目，不可在生产环境中使用，此处来使用项目搭建一个简单的授权服务器。

二、前置知识

1、了解 oauth2 协议、流程。可以参考阮一峰的这篇文章
2、JWT、JWS、JWK的概念

JWT：指的是 JSON Web Token，由 header.payload.signture 组成。不存在签名的JWT是不安全的，存在签名的JWT是不可窜改的。
JWS：指的是签过名的JWT，即拥有签名的JWT。
JWK：既然涉及到签名，就涉及到签名算法，对称加密还是非对称加密，那么就需要加密的 密钥或者公私钥对。此处我们将 JWT的密钥或者公私钥对统一称为 JSON WEB KEY，即 JWK。

三、需求

1、 完成授权码(authorization-code)流程。

最安全的流程，需要用户的参与。

2、 完成客户端(client credentials)流程。

没有用户的参与，一般可以用于内部系统之间的访问，或者系统间不需要用户的参与。

3、简化模式在新的 spring-authorization-server 项目中已经被弃用了。
4、刷新令牌。
5、撤销令牌。
6、查看颁发的某个token信息。
7、查看JWK信息。
8、个性化JWT token,即给JWT token中增加额外信息。

完成案例：
张三通过QQ登录的方式来登录CSDN网站。
登录后，CSDN就可以获取到QQ颁发的token，CSDN网站拿着token就可以获取张三在QQ资源服务器上的 个人信息 了。

角色分析
张三： 用户即资源拥有者
CSDN：客户端
QQ：授权服务器
个人信息： 即用户的资源，保存在资源服务器中

四、核心代码编写

1、引入授权服务器依赖

<dependency><groupId>org.springframework.security.experimental</groupId><artifactId>spring-security-oauth2-authorization-server</artifactId><version>0.1.2</version>
</dependency>

2、创建授权服务器用户

张三通过QQ登录的方式来登录CSDN网站。

此处完成用户张三的创建，这个张三是授权服务器的用户，此处即QQ服务器的用户。

@EnableWebSecurity
public class DefaultSecurityConfig {@BeanSecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {http.authorizeRequests(authorizeRequests ->authorizeRequests.anyRequest().authenticated()).formLogin();return http.build();}@Beanpublic PasswordEncoder passwordEncoder() {return new BCryptPasswordEncoder();}// 此处创建用户，张三。@BeanUserDetailsService users() {UserDetails user = User.builder().username("zhangsan").password(passwordEncoder().encode("zhangsan123")).roles("USER").build();return new InMemoryUserDetailsManager(user);}
}

3、创建授权服务器和客户端

张三通过QQ登录的方式来登录CSDN网站。

此处完成QQ授权服务器和客户端CSDN的创建。

package com.huan.study.authorization.config;import com.nimbusds.jose.jwk.JWKSet;
import com.nimbusds.jose.jwk.RSAKey;
import com.nimbusds.jose.jwk.source.JWKSource;
import com.nimbusds.jose.proc.SecurityContext;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.Ordered;
import org.springframework.core.annotation.Order;
import org.springframework.jdbc.core.JdbcTemplate;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.OAuth2AuthorizationServerConfiguration;
import org.springframework.security.config.annotation.web.configurers.oauth2.server.authorization.OAuth2AuthorizationServerConfigurer;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.oauth2.core.AuthorizationGrantType;
import org.springframework.security.oauth2.core.ClientAuthenticationMethod;
import org.springframework.security.oauth2.jwt.JwtDecoder;
import org.springframework.security.oauth2.server.authorization.JdbcOAuth2AuthorizationConsentService;
import org.springframework.security.oauth2.server.authorization.JdbcOAuth2AuthorizationService;
import org.springframework.security.oauth2.server.authorization.OAuth2AuthorizationConsentService;
import org.springframework.security.oauth2.server.authorization.OAuth2AuthorizationService;
import org.springframework.security.oauth2.server.authorization.client.JdbcRegisteredClientRepository;
import org.springframework.security.oauth2.server.authorization.client.RegisteredClient;
import org.springframework.security.oauth2.server.authorization.client.RegisteredClientRepository;
import org.springframework.security.oauth2.server.authorization.config.ProviderSettings;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.util.matcher.RequestMatcher;import java.security.KeyPair;
import java.security.KeyPairGenerator;
import java.security.NoSuchAlgorithmException;
import java.security.interfaces.RSAPrivateKey;
import java.security.interfaces.RSAPublicKey;
import java.time.Duration;
import java.util.UUID;/*** 认证服务器配置** @author huan.fu 2021/7/12 - 下午2:08*/
@Configuration
public class AuthorizationConfig {@Autowiredprivate PasswordEncoder passwordEncoder;/*** 个性化 JWT token*/class CustomOAuth2TokenCustomizer implements OAuth2TokenCustomizer<JwtEncodingContext> {@Overridepublic void customize(JwtEncodingContext context) {// 添加一个自定义头context.getHeaders().header("client-id", context.getRegisteredClient().getClientId());}}/*** 定义 Spring Security 的拦截器链*/@Bean@Order(Ordered.HIGHEST_PRECEDENCE)public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {// 设置jwt token个性化http.setSharedObject(OAuth2TokenCustomizer.class, new CustomOAuth2TokenCustomizer());// 授权服务器配置OAuth2AuthorizationServerConfigurer<HttpSecurity> authorizationServerConfigurer =new OAuth2AuthorizationServerConfigurer<>();RequestMatcher endpointsMatcher = authorizationServerConfigurer.getEndpointsMatcher();return http.requestMatcher(endpointsMatcher).authorizeRequests(authorizeRequests -> authorizeRequests.anyRequest().authenticated()).csrf(csrf -> csrf.ignoringRequestMatchers(endpointsMatcher)).apply(authorizationServerConfigurer).and().formLogin().and().build();}/*** 创建客户端信息，可以保存在内存和数据库，此处保存在数据库中*/@Beanpublic RegisteredClientRepository registeredClientRepository(JdbcTemplate jdbcTemplate) {RegisteredClient registeredClient = RegisteredClient.withId(UUID.randomUUID().toString())// 客户端id 需要唯一.clientId("csdn")// 客户端密码.clientSecret(passwordEncoder.encode("csdn123"))// 可以基于 basic 的方式和授权服务器进行认证.clientAuthenticationMethod(ClientAuthenticationMethod.BASIC)// 授权码.authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)// 刷新token.authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN)// 客户端模式.authorizationGrantType(AuthorizationGrantType.CLIENT_CREDENTIALS)// 密码模式.authorizationGrantType(AuthorizationGrantType.PASSWORD)// 简化模式，已过时，不推荐.authorizationGrantType(AuthorizationGrantType.IMPLICIT)// 重定向url.redirectUri("https://www.baidu.com")// 客户端申请的作用域，也可以理解这个客户端申请访问用户的哪些信息，比如：获取用户信息，获取用户照片等.scope("user.userInfo").scope("user.photos").clientSettings(clientSettings -> {// 是否需要用户确认一下客户端需要获取用户的哪些权限// 比如：客户端需要获取用户的 用户信息、用户照片 但是此处用户可以控制只给客户端授权获取 用户信息。clientSettings.requireUserConsent(true);}).tokenSettings(tokenSettings -> {// accessToken 的有效期tokenSettings.accessTokenTimeToLive(Duration.ofHours(1));// refreshToken 的有效期tokenSettings.refreshTokenTimeToLive(Duration.ofDays(3));// 是否可重用刷新令牌tokenSettings.reuseRefreshTokens(true);}).build();JdbcRegisteredClientRepository jdbcRegisteredClientRepository = new JdbcRegisteredClientRepository(jdbcTemplate);if (null == jdbcRegisteredClientRepository.findByClientId("csdn")) {jdbcRegisteredClientRepository.save(registeredClient);}return jdbcRegisteredClientRepository;}/*** 保存授权信息，授权服务器给我们颁发来token，那我们肯定需要保存吧，由这个服务来保存*/@Beanpublic OAuth2AuthorizationService authorizationService(JdbcTemplate jdbcTemplate, RegisteredClientRepository registeredClientRepository) {JdbcOAuth2AuthorizationService authorizationService = new JdbcOAuth2AuthorizationService(jdbcTemplate, registeredClientRepository);class CustomOAuth2AuthorizationRowMapper extends JdbcOAuth2AuthorizationService.OAuth2AuthorizationRowMapper {public CustomOAuth2AuthorizationRowMapper(RegisteredClientRepository registeredClientRepository) {super(registeredClientRepository);getObjectMapper().configure(SerializationFeature.FAIL_ON_EMPTY_BEANS, false);this.setLobHandler(new DefaultLobHandler());}}CustomOAuth2AuthorizationRowMapper oAuth2AuthorizationRowMapper =new CustomOAuth2AuthorizationRowMapper(registeredClientRepository);authorizationService.setAuthorizationRowMapper(oAuth2AuthorizationRowMapper);return authorizationService;}/*** 如果是授权码的流程，可能客户端申请了多个权限，比如：获取用户信息，修改用户信息，此Service处理的是用户给这个客户端哪些权限，比如只给获取用户信息的权限*/@Beanpublic OAuth2AuthorizationConsentService authorizationConsentService(JdbcTemplate jdbcTemplate, RegisteredClientRepository registeredClientRepository) {return new JdbcOAuth2AuthorizationConsentService(jdbcTemplate, registeredClientRepository);}/*** 对JWT进行签名的 加解密密钥*/@Beanpublic JWKSource<SecurityContext> jwkSource() throws NoSuchAlgorithmException {KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");keyPairGenerator.initialize(2048);KeyPair keyPair = keyPairGenerator.generateKeyPair();RSAPublicKey publicKey = (RSAPublicKey) keyPair.getPublic();RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate();RSAKey rsaKey = new RSAKey.Builder(publicKey).privateKey(privateKey).keyID(UUID.randomUUID().toString()).build();JWKSet jwkSet = new JWKSet(rsaKey);return (jwkSelector, securityContext) -> jwkSelector.select(jwkSet);}/*** jwt 解码*/@Beanpublic JwtDecoder jwtDecoder(JWKSource<SecurityContext> jwkSource) {return OAuth2AuthorizationServerConfiguration.jwtDecoder(jwkSource);}/*** 配置一些断点的路径，比如：获取token、授权端点 等*/@Beanpublic ProviderSettings providerSettings() {return new ProviderSettings()// 配置获取token的端点路径.tokenEndpoint("/oauth2/token")// 发布者的url地址,一般是本系统访问的根路径// 此处的 qq.com 需要修改我们系统的 host 文件.issuer("http://qq.com:8080");}
}

注意⚠️：
1、需要将 qq.com 在系统的 host 文件中与 127.0.0.1 映射起来。
2、因为客户端信息、授权信息(token信息等)保存到数据库，因此需要将表建好。
客户端和授权信息表
3、详细信息看上方代码的注释

五、测试

从上方的代码中可知：

资源所有者：张三 用户名和密码为：zhangsan/zhangsan123
客户端信息：CSDN clientId和clientSecret：csdn/csdn123
授权服务器地址： qq.com
clientSecret 的值不可泄漏给客户端，必须保存在服务器端。

1、授权码流程

1、获取授权码

http://qq.com:8080/oauth2/authorize?client_id=csdn&response_type=code&redirect_uri=https://www.baidu.com&scope=user.userInfo user.userInfo

client_id=csdn：表示客户端是谁
response_type=code：表示返回授权码
scope=user.userInfo user.userInfo：获取多个权限以空格分开
redirect_uri=https://www.baidu.com：跳转请求，用户同意或拒绝后

2、根据授权码获取token

 curl -i -X POST \-H "Authorization:Basic Y3Nkbjpjc2RuMTIz" \'http://qq.com:8080/oauth2/token?grant_type=authorization_code&code=tDrZ-LcQDG0julJBcGY5mjtXpE04mpmXjWr9vr0-rQFP7UuNFIP6kFArcYwYo4U-iZXFiDcK4p0wihS_iUv4CBnlYRt79QDoBBXMmQBBBm9jCblEJFHZS-WalCoob6aQ&redirect_uri=https%3A%2F%2Fwww.baidu.com'

Authorization： 携带具体的 clientId 和 clientSecret 的base64的值
grant_type=authorization_code 表示采用的方式是授权码
code=xxx：上一步获取到的授权码

3、流程演示

在这里插入图片描述

2、根据刷新令牌获取token

curl -i -X POST \-H "Authorization:Basic Y3Nkbjpjc2RuMTIz" \'http://qq.com:8080/oauth2/token?grant_type=refresh_token&refresh_token=Wpu3ruj8FhI-T1pFmnRKfadOrhsHiH1JLkVg2CCFFYd7bYPN-jICwNtPgZIXi3jcWqR6FOOBYWo56W44B5vm374nvM8FcMzTZaywu-pz3EcHvFdFmLJrqAixtTQZvMzx'

在这里插入图片描述

3、客户端模式

此模式下，没有用户的参与，只有客户端和授权服务器之间的参与。

curl -i -X POST \-H "Authorization:Basic Y3Nkbjpjc2RuMTIz" \'http://qq.com:8080/oauth2/token?grant_type=client_credentials'

客户端模式

4、撤销令牌

curl -i -X POST \'http://qq.com:8080/oauth2/revoke?token=令牌'

5、查看token 的信息

curl -i -X POST \-H "Authorization:Basic Y3Nkbjpjc2RuMTIz" \'http://qq.com:8080/oauth2/introspect?token=XXX'

token详情

6、查看JWK信息

curl -i -X GET \'http://qq.com:8080/oauth2/jwks'

JWK信息

六、完整代码

https://gitee.com/huan1993/spring-cloud-parent/tree/master/security/authorization-server

七、参考地址

1、https://github.com/spring-projects-experimental/spring-authorization-server


http://chatgpt.dhexx.cn/article/UfIaW3UQ.shtml

相关文章

SpringSecurityOAuth已停更，来看一看进化版本Spring Authorization Server

SpringSecurityOAuth已停更，来看一看进化版本Spring Authorization Server

Spring Authorization Server是Spring Security OAuth的进化版本&#xff0c;Spring Security OAuth官方已经宣布“End of Life”了。Spring Security OAuth使用的是OAuth2.0标准而Spring Authorization Serve引入了对OAuth 2.1和OpenID Connect 1.0规范的支持&#xff0c;并提…
阅读更多...
Spring Authorization Server1.0 介绍与使用

Spring Authorization Server1.0 介绍与使用

一、版本使用 1、Java&#xff1a;17或者更高的版本。 2、springboot 3.0 3、Spring Authorization Server 1.0版本。 <dependency><groupId>org.springframework.security</groupId><artifactId>spring-security-oauth2-authorization-server</ar…
阅读更多...
curl php authorization,PHP CURL 执行 Authorization 请求

curl php authorization,PHP CURL 执行 Authorization 请求

PHP CURL 扩展可以帮助我们快速实现HTTP请求。查看更多: 博客原文 在使用豆瓣OAuth登录接口时&#xff0c;我们需要发送这样的HTTP REQUEST 请求:GET /v2/user/~me HTTP/1.1 Host: https://api.douban.comAuthorization: Bearer a14afef0f66fcffce3e0fcd2e34f6ff4 在命令行中我…
阅读更多...
spring authorization server使用说明

spring authorization server使用说明

spring authorization server使用说明 相关依赖 <dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId></dependency><!-- 授权客户端 --><dependency><groupId…
阅读更多...
Spring Authorization Server 系列（二）获取授权码

Spring Authorization Server 系列（二）获取授权码

Spring Authorization Server 系列&#xff08;二&#xff09;获取授权码 概述获取授权码获取授权码的url逻辑解析匹配url参数解析 概述 Spring Authorization Server 是基于 OAuth2.1 和 OIDC 1.0 的。 只有 授权码&#xff0c;刷新token&#xff0c;客户端模式。 获取授权码…
阅读更多...
Spring Authorization Server 0.2.3变化

Spring Authorization Server 0.2.3变化

目录 引言联邦认证示例public client默认设置Introspection端点自定义访问令牌类型⭐️令牌生成器优化⭐️拆分Client认证逻辑OAuth2ClientAuthenticationProvider⭐️授权端点逻辑⭐️关于0.3.0版本中JwtEncoder相关变化⭐️ 引言 Spring社区在2022-03-24 19:56发布了Spring …
阅读更多...
spring authorization server 0.3.1 - 默认示例

spring authorization server 0.3.1 - 默认示例

spring authorization server 0.3.1 - 默认oidc 开始1、default-authorizationserver项目1.1、AuthorizationServerConfig.java1.2、DefaultSecurityConfig.java1.3、Jwks.java1.4、KeyGeneratorUtils.java1.5、DefaultAuthorizationServer.java1.6、application.yml 2、client…
阅读更多...
Authorization Server 认证服务

Authorization Server 认证服务

Hi Auth HiAuth是一个开源的基于Oauth2协议的认证、授权系统&#xff0c;除了标准的Oauth2授权流程功能外&#xff0c;还提供了应用管理、用户管理、权限管理等相关功能。 在这个项目中你能够了解到如何基于spring-security-oauth2-authorization-server实现自己的Authorizat…
阅读更多...
java authorization_OkHttp3 之 Authorization处理认证（四）

java authorization_OkHttp3 之 Authorization处理认证（四）

处理验证 这部分和HTTP AUTH有关. HTTP AUTH 使用HTTP AUTH需要在server端配置http auth信息, 其过程如下:客户端发送http请求 服务器发现配置了http auth, 于是检查request里面有没有”Authorization”的http header 如果有, 则判断Authorization里面的内容是否在用户列表里面…
阅读更多...
shiro授权过程

shiro授权过程

一、授权的核心概念 授权&#xff0c;也就是权限认证或访问控制&#xff0c;即在应用中控制谁能访问哪些资源 授权中的核心要素&#xff1a; 1 用户&#xff0c;在shiro中代表访问系统的任何客户端&#xff0c;即subject 2 角色&#xff0c;是权限的集合&#xff0c;或字符串值…
阅读更多...
安全-认证授权、数据脱敏

安全-认证授权、数据脱敏

一、认证授权 JWT &#xff1a;JWT&#xff08;JSON Web Token&#xff09;是一种身份认证的方式&#xff0c;JWT 本质上就一段签名的 JSON 格式的数据。由于它是带有签名的&#xff0c;因此接收者便可以验证它的真实性。 SSO(单点登录) &#xff1a;SSO(Single Sign On) 即单…
阅读更多...
认证 (authentication) 和授权 (authorization) 的区别

认证 (authentication) 和授权 (authorization) 的区别

以前一直傻傻分不清各种网际应用中 authentication 和 authorization, 其实很简单: 这两个术语通常在安全性方面相互结合使用&#xff0c;尤其是在获得对系统的访问权限时。两者都是非常重要的主题&#xff0c;通常与网络相关联&#xff0c;作为其服务基础架构的关键部分。然而…
阅读更多...
Authorization—权限控制流程

Authorization—权限控制流程

本篇是对Shiro体系架构的介绍&#xff0c;本栏目大部分内容来自于Shiro官网。翻译过程中已经尽量保证用词的准确性和易懂性&#xff0c;如有不准确或者不确切的地方&#xff0c;请联系作者加以修改。本篇内容翻译自Authorization特征与Authorization官方指南。 Authorization&…
阅读更多...
认证 (Authentication) 和授权 (Authorization)的区别是什么？

认证 (Authentication) 和授权 (Authorization)的区别是什么？

说简单点就是&#xff1a; 认证 (Authentication)&#xff1a; 你是谁。 授权 (Authorization)&#xff1a; 你有哪些权限 干什么事情。 稍微正式点&#xff08;啰嗦点&#xff09;的说法就是&#xff1a; Authentication&#xff08;认证&#xff09; 是验证您的身份的凭据&a…
阅读更多...
变量定义与类型

变量定义与类型

命名 保留字与关键字 关键字是系统已经用的&#xff0c;保留字是系统自带的的保留 为以后使用做准备 查看关键字方法 import keyword #引入关键字模块 print &#xff08;keyword.kwlist&#xff09; #打印系统全部关键字 变量声明 三种格 #格式1 s1 &#xff02;北京图灵学…
阅读更多...
Java变量定义时候的注意事项

Java变量定义时候的注意事项

常量定义的基本注意事项 在JAVA语言中&#xff0c;主要利用final关键字&#xff0c;&#xff08;在java类中灵活使用Static关键字&#xff09;来定义常量。 当常量被设定后&#xff0c;一般情况下就不允许在进行修改&#xff0c;如可以利用以下形式来定义一个常量:final doubl…
阅读更多...
变量的定义和使用

变量的定义和使用

目录 一、变量的定义 二、变量的组成 1.标识 2.类型 3.值 三、变量的多次赋值 一、变量的定义 变量名(name) 赋值运算符() 值(小王) name 小王 二、变量的组成 1.标识 表示对象所存储的物理地址&#xff0c;使用内置函数 id(obj) 来获取。 print(id(name)) 运行…
阅读更多...
C语言中变量声明和变量定义的区别

C语言中变量声明和变量定义的区别

本文转载至CSDN博客JeanCheng 变量声明和变量定义 变量定义&#xff1a;用于为变量分配存储空间&#xff0c;还可为变量指定初始值。程序中&#xff0c;变量有且仅有一个定义。变量声明&#xff1a;用于向程序表明变量的类型和名字。定义也是声明&#xff0c;extern声明不是定义…
阅读更多...
C++ 中的变量定义

C++ 中的变量定义

变量定义就是告诉编译器在何处创建变量的存储&#xff0c;以及如何创建变量的存储。 变量定义指定一个数据类型&#xff0c;并包含了该类型的一个或多个变量的列表&#xff0c;如下所示&#xff1a; type variable_list; 在这里&#xff0c;type 必须是一个有效的 C 数据类型…
阅读更多...
十：变量的定义和声明的区别？

十：变量的定义和声明的区别？

1. 变量的声明&#xff1a; 声明是用来告诉编译器变量的名称和类型&#xff0c;而不分配内存。变量的声明有两重含义&#xff1a; 告诉编译器&#xff0c;这个名字已经匹配到一块内存上&#xff0c;下面的代码用到变量或者对象是在别的地方定义的。声明可以出现多次。 告诉编译…
阅读更多...
推荐文章

Copyright @ 2022~2023