springCloud微服务系列——单点登录OAuth2+JWT

素颜马尾好姑娘i 2022-05-26 10:27 276阅读 0赞

研究了好久的springCloud微服务架构，在这里整理总结一下，做个梳理和备忘。

这次总结的是微服务之间的认证。最近实现了一个基于spring security的适合单体应用和分布式应用，适合app和浏览器的一套自用鉴权框架。算是对spring security有了点比较深入的认识了，这里说一下通过OAuth2+JWT来解决微服务之间的鉴权问题。

这里不会涉及到细节问题，关于spring security和OAuth2，JWT有很多很多的内容。特别是想要用好spring security，读它的源码是必不可少的。这里提供一个在学习过程中的一些笔记，记得比较混乱。

[《spring security的一些笔记》][spring security]

[《spring oauth的一些笔记》][spring oauth]

另外说一下笔记中没有但是很重要也很基础的内容，spring security是通过filter链实现鉴权的。验证码的校验通过对比redis中的值进行验证，验证逻辑需要扩展一个filter并且放在UsernamePasswordAuthenticationFilter之前。短信验证码由于提供的是手机号，因此需要通过UserDetailsService去判断手机号是否存在，因此需要提供一个AuthenticationProvider调用UserDetailsService来做验证。验证的手机信息需要通过一个filter封装，该filter应该放在UsernamePasswordAuthenticationFilter之后，保证最后的Authentication类的对象是以手机号的检验为准。

其实spring security本身提供了一个sso功能，也是使用OAuth2，也可以用JWT，但是有一点很尴尬，它不能在微服务中实现自己的资源服务器。我在微服务中提供自己的资源服务器后，就拿不到token了。如果没有自己的资源服务器，前后端分离后使用认证服务器中的token是不起作用的。这样的话对于浏览器，前后端没有分离的应用是可以的。但是对于app和前后端分离的应用就麻烦了。所以这里就来说一说怎么去做适用于app，前后端分离的OAuth2+JWT的单点登录。

最后还有一个问题，如果用feign进行微服务之间的调用，请求头中的token会丢失。这个需要通过读feign的源码，进行相应的扩展，在调用httpClient之前将header中的信息加入被调用的微服务http请求中。

一、思路：

我们需要统一的一个认证服务器进行鉴权，包括图形验证码和短信验证码，获得微服务均认可的token。

由于前后端分离，资源服务器必须实现在微服务上，这样才能保证对token的识别，传统做法中资源服务器上鉴权就不能做了。那么需要在认证服务器上用浏览器的鉴权方式进行配置。图形验证码和短信验证码也必须在浏览器认证中进行扩展。所以思路是，先通过浏览器的方式进行用户名密码，图形验证码或短信验证码的鉴权，然后通过认证服务器用OAuth2的密码模式获取基于JWT的token。在微服务上实现资源服务器对token进行解析。

这样一来，鉴权和颁发token就必须要分别去实现了。

对于feign方式进行微服务之间调用丢失请求头中的token的问题，需要实现RequestInterceptor拦截器，在其中将token信息加入被调用微服务的请求头中。

1、认证服务器+浏览器鉴权

提供一个认证服务器，用来颁发基于JWT的token。提供基于浏览器的鉴权配置，自定义自己的鉴权逻辑。对鉴权进行扩展，提供图形验证码和短信验证码的鉴权。具体的扩展方式就不说了，如果说的话，免不了要分析spring security的源码，这足够写另一篇文章了。

这里说一下扩展后的结果，通过authentication/form进行用户名密码加图形验证码的鉴权，需要在请求头中提供deviceId。通过authentication/mobile进行手机验证码的鉴权，同样在请求头中需要提供deviceId。然后，鉴权通过后，再通过oauth/token获得token，需要在请求中提供基于basic的请求头验证，值为clientId:clientSecret的base64编码。

在这里有一个问题，手机验证码的验证扩展中是不需要提供密码的，但是我们获得token的OAuth2模式为密码模式，需要提供密码。如何解决这个矛盾？我的做法如下：

a、在实现的AuthenticationProvider接口中提供一个表示短信验证的标志。每次在该类中调用userDetailsService.loadUserByUsername方法时用户名加上该标志。

这样一来，通过UsernamePasswordAuthenticationFilter调用的loadUserByUsername方法中将没有改标志，从而判断是否是来自短信验证。

b、如果是短信验证码的验证，需要在redis中加入这样一个键值对，键为手机验证码标志加上手机号，值为手机验证码。注意过期时间不能太长。

c、OAuth2密码模式验证的时候，密码为手机验证码，通过redis可以判断出来鉴权是否来自于手机验证码，如果来自于手机验证码，则使用手机号和手机验证码作为User返回。

这个实现还是上一下代码吧

/**
     * 
     * 通过userDetailsService的loadUserByUsername方法返回UserDetails判断是否有该用户
     * 将结果封装到token中,这里的token是指基类为Authentication的类,不是JWT的token
     * 
     * @author wulinfeng
     *
     */
    public class SmsCodeAuthenticationProvider implements AuthenticationProvider {
    
    	public static final String SMS_FLAG = "20447a87-4947-11e8-95a3-a087c5481799";
    	
    	private UserDetailsService userDetailsService;
    	
    	@Override
    	public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    		UserDetails userDetails = userDetailsService.loadUserByUsername(SMS_FLAG+":"+((String) authentication.getPrincipal()));
    		Optional.ofNullable(userDetails)
    				.orElseThrow(()->{
    					return new InternalAuthenticationServiceException("无法获取用户信息！");
    				});
    		
    		SmsCodeAuthenticationToken smsCodeAuthenticationToken = new SmsCodeAuthenticationToken(userDetails.getUsername(), userDetails.getAuthorities());
    		smsCodeAuthenticationToken.setDetails(authentication.getDetails());
    		return smsCodeAuthenticationToken;
    	}
    
    	@Override
    	public boolean supports(Class<?> authentication) {
    		return (SmsCodeAuthenticationToken.class.isAssignableFrom(authentication));
    	}
    
    	public UserDetailsService getUserDetailsService() {
    		return userDetailsService;
    	}
    
    	public void setUserDetailsService(UserDetailsService userDetailsService) {
    		this.userDetailsService = userDetailsService;
    	}
    	
    }

#####  #####

@Component
    public class SsoUserDetailsService implements UserDetailsService {
    
    	@Autowired
    	private PasswordEncoder passwordEncoder;
    	
    	@Autowired
    	private RedisTemplate<String, String> redisTemplate;
    	
    	@Override
    	public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
    		User user = null;
    		String[] userSegment = username.split(":");
    		if(userSegment.length > 1) {
    			// sms验证
    			if(SmsCodeAuthenticationProvider.SMS_FLAG.equals(userSegment[0])) {
    				String phone = userSegment[2];
    				String sms = userSegment[1];
    				user = loadUserBySms(phone, sms);
    			} else {
    				user = loadUser(username);
    			}
    		} else {
    			user = loadUser(username);
    		}
    		
    		return user;
    	}
    	
    	private User loadUser(String username) {
    		User user = null;
    		String sms = redisTemplate.opsForValue().get(SmsCodeAuthenticationProvider.SMS_FLAG+":"+username);
    		if(!StringUtils.isEmpty(sms)) {
    			redisTemplate.delete(SmsCodeAuthenticationProvider.SMS_FLAG+":"+username);
    			user = new User(username, passwordEncoder.encode(sms), AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_USER"));
    		}
    		else {
    			// 根据用户名或手机号查询用户信息
    			user = new User(username, passwordEncoder.encode("123456"), AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_USER"));
    		}
    		return user;
    	}
    
    	private User loadUserBySms(String phone, String sms) {
    		// 根据手机号查询用户信息
    		redisTemplate.opsForValue().set(SmsCodeAuthenticationProvider.SMS_FLAG+":"+phone, sms, 30, TimeUnit.SECONDS);
    		return new User(phone, passwordEncoder.encode(phone), AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_USER"));
    	}
    
    }

2、微服务实现资源服务器

微服务只需要实现最基本的资源服务器即可，主要是用来校验和解析token。注意这里的校验只是通过秘钥进行验证，并且判断token是否过期。

3、微服务之间feign调用请求头丢失的问题

实现RequestInterceptor拦截器，在其中将请求头中的token信息加入到被调用微服务的请求头中

public class SsoFeignConfig implements RequestInterceptor {
    
    	public static String TOKEN_HEADER = "authorization";
    	
    	@Override
    	public void apply(RequestTemplate template) {
    		template.header(TOKEN_HEADER, getHeaders(getHttpServletRequest()).get(TOKEN_HEADER));
    	}
    
    	private HttpServletRequest getHttpServletRequest() {
            try {
                return ((ServletRequestAttributes) RequestContextHolder.getRequestAttributes()).getRequest();
            } catch (Exception e) {
                return null;
            }
        }
    	
    	private Map<String, String> getHeaders(HttpServletRequest request) {
            Map<String, String> map = new LinkedHashMap<>();
            Enumeration<String> enumeration = request.getHeaderNames();
            while (enumeration.hasMoreElements()) {
                String key = enumeration.nextElement();
                String value = request.getHeader(key);
                map.put(key, value);
            }
            return map;
        }
    	
    }

@FeignClient(name="client1-server/client1", fallback=UserServiceImpl.class, configuration = SsoFeignConfig.class)
    public interface UserService {
    
    	@GetMapping(value="/user")
    	Authentication user(Authentication user);
    	
    	@GetMapping(value="/test")
    	String test();
    	
    }

综上就是微服务的基于OAuth2+JWT的单点登录的一个实现方案。具体的实现细节还有非常非常多的内容。这里就不说了，只提供一个大体思路备忘。

[spring security]: https://d.wps.cn/v/8qWT4
[spring oauth]: https://d.wps.cn/v/8riI4