StackoverflowError Spring Security Oauth clientDetailsService

旧城等待， 2022-12-11 15:25 207阅读 0赞

# StackoverflowError Spring Security Oauth clientDetailsService #

## 背景 ##

在使用 `Spring security oauth` 的认证服务器时，出现了 `StackoverflowError` 错误

### 错误信息 ###

如下

java.lang.StackOverflowError: null
        at java.lang.ReflectiveOperationException.<init>(Unknown Source) ~[na:1.8.0_45]
        at java.lang.reflect.InvocationTargetException.<init>(Unknown Source) ~[na:1.8.0_45]
        at sun.reflect.GeneratedMethodAccessor34.invoke(Unknown Source) ~[na:na]
        at sun.reflect.DelegatingMethodAccessorImpl.invoke(Unknown Source) ~[na:1.8.0_45]
        at java.lang.reflect.Method.invoke(Unknown Source) ~[na:1.8.0_45]
        at org.springframework.aop.support.AopUtils.invokeJoinpointUsingReflection(AopUtils.java:302) ~[spring-aop-4.2.2.RELEASE.jar:4.2.2.RELEASE]
        at org.springframework.aop.framework.JdkDynamicAopProxy.invoke(JdkDynamicAopProxy.java:201) ~[spring-aop-4.2.2.RELEASE.jar:4.2.2.RELEASE]
        at com.sun.proxy.$Proxy67.authenticate(Unknown Source) ~[na:na]
        at org.springframework.security.authentication.ProviderManager.authenticate(ProviderManager.java:192) ~[spring-security-core-4.0.3.RELEASE.jar:4.0.3.RELEASE]
        at org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter$AuthenticationManagerDelegator.authenticate(WebSecurityConfigurerAdapter.java:436) ~[spring-security-config-3.2.8.RELEASE.jar:3.2.8.RELEASE]
        at sun.reflect.GeneratedMethodAccessor34.invoke(Unknown Source) ~[na:na]
        at sun.reflect.DelegatingMethodAccessorImpl.invoke(Unknown Source) ~[na:1.8.0_45]
        at java.lang.reflect.Method.invoke(Unknown Source) ~[na:1.8.0_45]
        at org.springframework.aop.support.AopUtils.invokeJoinpointUsingReflection(AopUtils.java:302) ~[spring-aop-4.2.2.RELEASE.jar:4.2.2.RELEASE]
        at org.springframework.aop.framework.JdkDynamicAopProxy.invoke(JdkDynamicAopProxy.java:201) ~[spring-aop-4.2.2.RELEASE.jar:4.2.2.RELEASE]
        at com.sun.proxy.$Proxy67.authenticate(Unknown Source) ~[na:na]
        at org.springframework.security.authentication.ProviderManager.authenticate(ProviderManager.java:192) ~[spring-security-core-4.0.3.RELEASE.jar:4.0.3.RELEASE]

在网上找了一些回答没有指到点子上的，撸其源码，发现其根本原因。

### 根本原因 ###

是 **代理对象代理了自身** 导致的。故在调用目标对象的方法时，经过代理对象，代理对象增强后调用目标对象方法，但此时目标对象是自身，故进行递归调用，无限调用最终导致堆内存溢出。

Bean 注入时注入的是代理对象，为这个代理对象设置真实对象时，设置成了从 spring 容器中获取的代理对象，即其本身，导致代理对象代理自身，产生无限循环引用bug，从而导致StackoverflowError 。

## Spring Security Oauth 对 `clientDetailsService` 做了什么手脚？ ##

答案在 `org.springframework.security.oauth2.config.annotation.configuration.ClientDetailsServiceConfiguration` 类中，附这个类的源码：

@Configuration
    public class ClientDetailsServiceConfiguration { 
    
    	@SuppressWarnings("rawtypes")
    	private ClientDetailsServiceConfigurer configurer = new ClientDetailsServiceConfigurer(new ClientDetailsServiceBuilder());
    	
    	@Bean
    	public ClientDetailsServiceConfigurer clientDetailsServiceConfigurer() { 
    		return configurer;
    	}
    
    	@Bean
    	@Lazy
    	@Scope(proxyMode=ScopedProxyMode.INTERFACES) // ！！！！注意这里 ！！！！！
    	public ClientDetailsService clientDetailsService() throws Exception { 
    		return configurer.and().build();
    	}
    }

发现在注入Bean时，特殊之处就在于多了一个 `@Scope(proxyMode=ScopedProxyMode.INTERFACES)` 注解。

### @Scope 注解什么用？ ###

简单来说，该注解主要是加在非单例的 Bean 上，因为该Bean可能注入到单例的bean中，spring 是通过为该bean创建代理对象来实现的，每次访问这个接口时，访问代理对象，由对应的请求/session等上下文决定这个bean用哪个。

## 错误是如何产生的 ##

在配置 AuthorizationServerConfigurerAdapter 时，使用

@Configuration
    public class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter { 
    
    	// 根据刚才看的源码，这里获取的是Spring 创建的代理对象，必须为 ClientDetailsService 接口而非实现类才会出错
        @Autowired
        private ClientDetailsService clientDetailsService;
    
    	@Override
        public void configure(ClientDetailsServiceConfigurer clients)
                throws Exception { 
            // 此时把 clientDetailsService 注册到了Spring的代理对象上，由于 clientDetailsService 其实就是代理对象本身，故将会导致死循环
            clients.withClientDetails(clientDetailsService);
        }
    }

## 解决方法 ##

[代码可以在这看 https://github.com/ChinaLym/shoulder-framework][https_github.com_ChinaLym_shoulder-framework]

### 1. 直接注入实现类，而非接口，获取真实对象 ###

改造举例：

@Configuration
    public class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter { 
    
    	// 设置为 JdbcClientDetailsService 将不会走代理机制
        @Autowired
        private JdbcClientDetailsService clientDetailsService;
    
    	@Override
        public void configure(ClientDetailsServiceConfigurer clients)
                throws Exception { 
            clients.withClientDetails(clientDetailsService);
        }
    }

### 2. 使用自己的 ClientDetailsService 而不是 Spring 提供的代理对象 ###

改造举例1：

@Configuration
    public class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter { 
    
    	// 通过 @Querlify 来强制使用自己创建的 clientDetailsService
        @Autowired
        @Querlify("myClientDetailsService")
        private ClientDetailsService clientDetailsService;
    
    	@Override
        public void configure(ClientDetailsServiceConfigurer clients)
                throws Exception { 
            clients.withClientDetails(clientDetailsService);
        }
        
    	@Bean
    	@Querlify("myClientDetailsService")
    	public ClientDetailsService myClientDetailsService() throws Exception { 
    		return xxxx;
    	}
    }

改造举例2：

@Configuration
    public class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter { 
    
        @Autowired
        private ClientDetailsService clientDetailsService;
    
    	@Override
        public void configure(ClientDetailsServiceConfigurer clients)
                throws Exception { 
            clients.withClientDetails(clientDetailsService);
        }
        
    	@Bean
    	@Primary // 通过该注解，指定 ClientDetailsService 接口对应的 bean 就是真实的 bean
    	public ClientDetailsService myClientDetailsService() throws Exception { 
    		return xxxx;
    	}
    }

--------------------