循序渐进之单点登录（5）- 分布式系统认证授权再理解

今天药忘吃喽~ 2023-02-10 05:16 4阅读 0赞

### 文章目录 ###

*  1. 授权服务器配置
 *  2. 配置1 内存模式 无JWT
 *  3. 配置2 数据库 JWT
 *  4. Refresh Token

[Oauth2文档][Oauth2]

# 1. 授权服务器配置 #

可以用 @EnableAuthorizationServer 注解并继承AuthorizationServerConfigurerAdapter来配置OAuth2.0 授权服务器。

![在这里插入图片描述][20200520133559346.png]  
AuthorizationServerConfigurerAdapter要求配置以下几个类，这几个类是由Spring创建的独立的配置对象，它们  
会被Spring传入AuthorizationServerConfig；  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpdHRsZXdoaXRldmc_size_16_color_FFFFFF_t_70]  
了解这三个含义：

*  ClientDetailsServiceConfigurer：用来配置客户端详情服务（ClientDetailsService），客户端详情信息在  
    这里进行初始化，你能够把客户端详情信息写死在这里或者是通过数据库来存储调取详情信息。
 *  AuthorizationServerEndpointsConfigurer：用来配置令牌（token）的访问端点和令牌服务(token  
    services)。
 *  AuthorizationServerSecurityConfigurer：用来配置令牌端点的安全约束.

--------------------

**令牌访问端点配置**

配置授权类型（Grant Types）

AuthorizationServerEndpointsConfigurer 通过设定以下属性决定支持的授权类型（Grant Types）:

*  authenticationManager：认证管理器，当你选择了资源所有者密码（password）授权类型的时候，请设置这个属性注入一个 AuthenticationManager 对象。
 *  userDetailsService：如果你设置了这个属性的话，那说明你有一个自己的 UserDetailsService 接口的实现，或者你可以把这个东西设置到全局域上面去（例如 GlobalAuthenticationManagerConfigurer 这个配置对象），当你设置了这个之后，那么 “refresh\_token” 即刷新令牌授权类型模式的流程中就会包含一个检查，用来确保这个账号是否仍然有效，假如说你禁用了这个账户的话。
 *  authorizationCodeServices：这个属性是用来设置授权码服务的（即 AuthorizationCodeServices 的实例对象），主要用于 “authorization\_code” 授权码类型模式。
 *  implicitGrantService：这个属性用于设置隐式授权模式，用来管理隐式授权模式的状态。
 *  tokenGranter：当你设置了这个东西（即 TokenGranter 接口实现），那么授权将会交由你来完全掌控，并且会忽略掉上面的这几个属性，这个属性一般是用作拓展用途的，即标准的四种授权模式已经满足不了你的  
    需求的时候，才会考虑使用这个。

--------------------

**配置授权端点的URL（Endpoint URLs）**  
AuthorizationServerEndpointsConfigurer 这个配置对象有一个叫做 pathMapping() 的方法用来配置端点URL链 接，它有两个参数：  
第一个参数：String 类型的，这个端点URL的默认链接。  
第二个参数：String 类型的，你要进行替代的URL链接。

以上的参数都将以 “/” 字符为开始的字符串，框架的默认URL链接如下列表，可以作为这个 pathMapping() 方法的  
第一个参数：  
/oauth/authorize：授权端点。  
/oauth/token：令牌端点。  
/oauth/confirm\_access：用户确认授权提交端点。  
/oauth/error：授权服务错误信息端点。  
/oauth/check\_token：用于资源服务访问的令牌解析端点。  
/oauth/token\_key：提供公有密匙的端点，如果你使用JWT令牌的话

--------------------

**管理令牌：**  
AuthorizationServerTokenServices 接口定义了一些操作使得你可以对令牌进行一些必要的管理，令牌可以被用来加载身份信息，里面包含了这个令牌的相关权限。  
自己可以创建 AuthorizationServerTokenServices 这个接口的实现，则需要继承 DefaultTokenServices 这个类，里面包含了一些有用实现，你可以使用它来修改令牌的格式和令牌的存储。默认的，当它尝试创建一个令牌的时候，是使用随机值来进行填充的，除了持久化令牌是委托一个 TokenStore 接口来实现以外，这个类几乎帮你做了所有的事情。并且 TokenStore 这个接口有一个默认的实现，它就是 InMemoryTokenStore ，如其命名，所有的令牌是被保存在了内存中。除了使用这个类以外，你还可以使用一些其他的预定义实现，下面有几个版本，它们都实现了TokenStore接口：

*  InMemoryTokenStore：这个版本的实现是被默认采用的，它可以完美的工作在单服务器上（即访问并发量压力不大的情况下，并且它在失败的时候不会进行备份），大多数的项目都可以使用这个版本的实现来进行尝试，你可以在开发的时候使用它来进行管理，因为不会被保存到磁盘中，所以更易于调试。
 *  JdbcTokenStore：这是一个基于JDBC的实现版本，令牌会被保存进关系型数据库。使用这个版本的实现时，你可以在不同的服务器之间共享令牌信息，使用这个版本的时候请注意把"spring-jdbc"这个依赖加入到你的classpath当中。
 *  JwtTokenStore：这个版本的全称是 JSON Web Token（JWT），它可以把令牌相关的数据进行编码（因此对于后端服务来说，它不需要进行存储，这将是一个重大优势），但是它有一个缺点，那就是撤销一个已经授权令牌将会非常困难，所以它通常用来处理一个生命周期较短的令牌以及撤销刷新令牌（refresh\_token）。 另外一个缺点就是这个令牌占用的空间会比较大，如果你加入了比较多用户凭证信息。JwtTokenStore 不会保存任何数据，但是它在转换令牌值以及授权信息方面与 DefaultTokenServices 所扮演的角色是一样的。

# 2. 配置1 内存模式 无JWT #

//@Configuration
    //@EnableAuthorizationServer
    public class AuthorizationServer extends AuthorizationServerConfigurerAdapter { 
        @Autowired
        private TokenStore tokenStore;
        @Autowired
        private ClientDetailsService clientDetailsService;
        @Autowired
        private AuthorizationCodeServices authorizationCodeServices;
        @Autowired
        private AuthenticationManager authenticationManager;
    
        //令牌访问端点
        @Override
        public void configure(AuthorizationServerEndpointsConfigurer endpoints) { 
            endpoints
                    .authenticationManager(authenticationManager)
                    .authorizationCodeServices(authorizationCodeServices)
                    .tokenServices(tokenService())
                    .allowedTokenEndpointRequestMethods(HttpMethod.POST);
        }
    	//注意这个部分,到时候和请求链接的参数比对
        @Override
        public void configure(ClientDetailsServiceConfigurer clients) throws Exception { 
            clients.inMemory() //用内存存储
                    .withClient("c1")
                    .secret(new BCryptPasswordEncoder().encode("secret")) //客户端密钥
                    .resourceIds("res1")  //资源列表
                    .authorizedGrantTypes("authorization_code", "password", "client_credentials", "refresh_token")//授权方式
                    .scopes("all")//允许授权范围
                    .autoApprove(false)
                    .redirectUris("http://www.baidu.com"); //验证回调地址
        }
    
        //令牌管理服务
        @Bean
        public AuthorizationServerTokenServices tokenService() { 
            DefaultTokenServices service = new DefaultTokenServices();
            service.setClientDetailsService(clientDetailsService); //客户端服务信息
            service.setSupportRefreshToken(true); // 是否产生刷新令牌
            service.setTokenStore(tokenStore); //令牌存储策略
            service.setAccessTokenValiditySeconds(7200);// 令牌默认有效期2小时
            service.setRefreshTokenValiditySeconds(259200);// 刷新令牌默认有效期3天
            return service;
        }
    
        // 令牌访问端点安全策略
        @Override
        public void configure(AuthorizationServerSecurityConfigurer security) { 
            security
                    .tokenKeyAccess("permitAll()")  //oauth2/token_key
                    .checkTokenAccess("permitAll()") //oauth/check_key
                    .allowFormAuthenticationForClients(); // 表单认证 (申请令牌)
        }
    
        @Bean
        public AuthorizationCodeServices authorizationCodeServices() { 
            //设置授权码模式的授权码如何 存取，暂时采用内存方式
            return new InMemoryAuthorizationCodeServices();
        }
    }

@Bean
        public TokenStore tokenStore() { 
            //使用内存存储令牌（普通令牌）
            return new InMemoryTokenStore();
        }

# 3. 配置2 数据库 JWT #

@Configuration
    @EnableAuthorizationServer
    public class AuthorizationServerJWTtoDB extends AuthorizationServerConfigurerAdapter { 
        @Autowired
        private TokenStore tokenStore;
        @Autowired
        private JwtAccessTokenConverter accessTokenConverter;
        @Autowired
        private ClientDetailsService clientDetailsService;
        @Autowired
        private AuthorizationCodeServices authorizationCodeServices;
        @Autowired
        private AuthenticationManager authenticationManager;
    
        @Bean
        public PasswordEncoder passwordEncoder() { 
            return new BCryptPasswordEncoder();
        }
    
        /** * * @param dataSource * @return */
        @Bean
        public ClientDetailsService clientDetailsService(DataSource dataSource) { 
            //也可以写入redis
            ClientDetailsService clientDetailsService = new JdbcClientDetailsService(dataSource);
            ((JdbcClientDetailsService) clientDetailsService).setPasswordEncoder(passwordEncoder());
            return clientDetailsService;
        }
    
        public void configure(ClientDetailsServiceConfigurer clients) throws Exception { 
            clients.withClientDetails(clientDetailsService);
        }
    
        @Bean
        public AuthorizationServerTokenServices tokenService() { 
            DefaultTokenServices service = new DefaultTokenServices();
            service.setClientDetailsService(clientDetailsService);
            service.setSupportRefreshToken(true);//支持刷新令牌
    
            service.setTokenStore(tokenStore);
            //绑定tokenStore
            TokenEnhancerChain tokenEnhancerChain = new TokenEnhancerChain();
            tokenEnhancerChain.setTokenEnhancers(Arrays.asList(accessTokenConverter));
            service.setTokenEnhancer(tokenEnhancerChain);
            service.setAccessTokenValiditySeconds(7200); // 令牌默认有效期2小时
            service.setRefreshTokenValiditySeconds(259200); // 刷新令牌默认有效期3天
            return service;
        }
    
        @Bean
        public AuthorizationCodeServices authorizationCodeServices(DataSource dataSource) { 
            return new JdbcAuthorizationCodeServices(dataSource);//设置授权码模式的授权码如何存取
        }
    
        @Override
        public void configure(AuthorizationServerEndpointsConfigurer endpoints) { 
            endpoints
                    .authenticationManager(authenticationManager)
                    .authorizationCodeServices(authorizationCodeServices)
                    .tokenServices(tokenService())
                    .allowedTokenEndpointRequestMethods(HttpMethod.POST);
        }
    
        @Override
        public void configure(AuthorizationServerSecurityConfigurer security) { 
            security.tokenKeyAccess("permitAll()")
                    .checkTokenAccess("permitAll()")
                    .allowFormAuthenticationForClients()//允许表单认证
            ;
        }
    }

@Bean
        public TokenStore tokenStore() { 
            //JWT令牌存储方案
            return new JwtTokenStore(accessTokenConverter());
        }
    
        @Bean
        public JwtAccessTokenConverter accessTokenConverter() { 
            JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
            converter.setSigningKey(SIGNING_KEY); //对称秘钥，资源服务器使用该秘钥来验证
            return converter;
        }

写一个回调接口 redirect\_uri 一次性完成登陆：  
我们知道，我们去访问uaa，如果没有登陆会重定向到uaa的登陆并授权然后拿到一个授权码code，然后再拿这个code去uaa请求颁发令牌  
![在这里插入图片描述][20200520140445289.png]  
能够成功拿到，那么我们是否可以自己去发请求拿到token了呢？

@GetMapping("/fallback")
        public String fallback(String code) { 
            System.out.println(code);
            //"http://localhost:53020/uaa/oauth/token"
            MultiValueMap<String, String> map= new LinkedMultiValueMap<String, String>();
            map.add("client_id","c1");
            map.add("code",code);
            map.add("client_secret","secret");
            map.add("grant_type","authorization_code");
            map.add("redirect_uri","http://localhost:53000/fallback");
            RestTemplate restTemplate = new RestTemplate();
            String post = restTemplate.postForObject("http://localhost:53020/uaa/oauth/token", map, String.class);
            return post;
        }

访问到（换了个端口）：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpdHRsZXdoaXRldmc_size_16_color_FFFFFF_t_70 1]  
既然拿到令牌了就可以做其他的动作了

# 4. Refresh Token #

[可参考][Link 1]  
使用失效的token访问资源的时候，可以发现断点直接到达异常处理器，由此看出token确实是失效的并且进入了异常处理器进行处理，最终通过refresh\_token 获取到最新的token再次成功访问获取资源  
刷新token请求（/oauth/token）  
请求所需参数：grant\_type、refresh\_token、client\_id、client\_secret  
其中grant\_type为固定值：grant\_type=refresh\_token

[Oauth2]: https://docs.spring.io/spring-security/site/docs/5.2.4.RELEASE/reference/htmlsingle/#oauth2
[20200520133559346.png]: https://img-blog.csdnimg.cn/20200520133559346.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpdHRsZXdoaXRldmc_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/20200520133632349.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpdHRsZXdoaXRldmc=,size_16,color_FFFFFF,t_70
[20200520140445289.png]: https://img-blog.csdnimg.cn/20200520140445289.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpdHRsZXdoaXRldmc_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200520150505460.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2xpdHRsZXdoaXRldmc=,size_16,color_FFFFFF,t_70
[Link 1]: https://www.jianshu.com/p/0c4ba7200b54