Spring Cloud Security OAuth2授权模式和资源服务器

待我称王封你为后i 2023-03-12 07:15 294阅读 0赞

### 文章目录 ###

*  一、授权模式
 *   *  1.1授权码模式
     *  1.2简化模式
     *  1.3密码模式
     *  1.4客户端模式
 *  二、资源服务器
 *   *  2.1 资源服务器配置
     *  2.2 测试

# 一、授权模式 #

## 1.1授权码模式 ##

下图为授权码模式交互图：  
![在这里插入图片描述][20200515143145439.png]  
① 资源拥有者打开客户端，客户端要求资源拥有者给予授权，它将浏览器被重定向到授权服务器，重定向时会附加客户端的身份信息。如：`http://localhost:3001/oauth/authorize?client_id=c1&response_type=code&scope=all&redirect_uri=http://www.baidu.com`;

参数列表如下：

*  **client\_id**：客户端准入标识
 *  **response\_type**：授权码模式固定为`code`
 *  **scope**：客户端权限
 *  **redirect\_uri**：跳转`uri`，当授权码申请成功后会跳转到此地址，并在后边带上`code`参数（授权码）

②浏览器出现向授权服务器授权页面，之后将用户同意授权。

③授权服务器将授权码（`AuthorizationCode`）转经浏览器发送给`client`(通过`redirect_uri`)

④客户端拿着授权码向授权服务器索要访问`access_token`，请求如下：`http://localhost:3001/oauth/token? client_id=c1&client_secret=secret&grant_type=authorization_code&code=5PgfcD&redirect_uri=http://w ww.baidu.com`

⑤授权服务器返回令牌(`access_token`)  
这种模式是四种模式中最安全的一种模式。一般用于`client`是`Web`服务器端应用或第三方的原生`App`调用资源服务的时候。因为在这种模式中`access_token`不会经过浏览器或移动端的`App`，而是直接从服务端去交换，这样就最大限度的减小了令牌泄漏的风险。

**测试：**

浏览器访问认证页面：  
`http://localhost:3001/oauth/authorize?client_id=c1&response_type=code&scope=all&redirect_uri=http://www.baidu.com`  
![在这里插入图片描述][20200515144019177.png]  
然后输入模拟的账号和密码点登陆之后进入授权页面  
![在这里插入图片描述][20200515144148268.png]  
确认授权后，浏览器会重定向到指定路径并附带授权码，最后使用该授权码获取token。  
![在这里插入图片描述][20200515144344761.png]  
获取`token`成功：  
![在这里插入图片描述][20200515144409437.png]

## 1.2简化模式 ##

下图是简化模式交互图：  
![在这里插入图片描述][20200515161306814.png]

①资源拥有者打开客户端，客户端要求资源拥有者给予授权，它将浏览器被重定向到授权服务器，重定向时会 附加客户端的身份信息。如：`http://localhost:3001/oauth/authorize?client_id=c1&response_type=token&scope=all&redirect_uri=http://www.baidu.com`  
参数描述同授权码模式 ，注意`response_type=token`。

②浏览器出现向授权服务器授权页面，之后将用户同意授权。

③授权服务器将授权码将令牌（`access_token`）以`Hash`的形式存放在重定向`uri`的`fragment`中发送给浏览器:  
![在这里插入图片描述][20200515161635841.png]  
注：`fragment`主要是用来标识`URI`所标识资源里的某个资源，在`URI`的末尾通过（\#）作为 `fragment`的开头，`js`通过响应浏览器地址栏变化的方式能获取到`fragment`就行了。

简化模式用于没有服务器端的第三方单页面应用，因为没有服务器端就无法接收授权码。

## 1.3密码模式 ##

下图是密码模式交互图：  
![在这里插入图片描述][20200515161925724.png]  
①资源拥有者将用户名、密码发送给客户端

②客户端拿着资源拥有者的用户名、密码向授权服务器请求令牌（`access_token`），请求如下：`http://localhost:3001/oauth/token? client_id=c1&client_secret=123&grant_type=password&username=admin&password=admin`;只支持`POST`请求。

参数列表如下：

*  **client\_id**：客户端准入标识
 *  **client\_secret**：客户端秘钥
 *  **grant\_type**：授权类型，`password`表示密码模式
 *  **username**：资源拥有者用户名
 *  **password**：资源拥有者密码

③授权服务器将令牌（`access_token`）发送给`client`  
![在这里插入图片描述][20200515163409710.png]

注：这种模式意味着直接将用户敏感信息泄漏给了`client`，因此这就说明这种模式只能用于`client`是我们自己开发的情况下。因此密码模式一般用于我们自己开发的，第一方原生`App`或第一方单页面应用。

## 1.4客户端模式 ##

下图是客户端模式交互图：  
![在这里插入图片描述][20200515162231461.png]  
①客户端向授权服务器发送自己的身份信息，并请求令牌（`access_token`）

②确认客户端身份无误后，将令牌（access\_token）发送给client，请求如下：`http://localhost:3001/oauth/token?client_id=c1&client_secret=123&grant_type=client_credentials`,支持`POST`请求

参数列表如下：

*  **client\_id**：客户端准入标识。
 *  **client\_secret**：客户端秘钥。
 *  **grant\_type**：授权类型，填写`client_credentials`表示客户端模式  
    ![在这里插入图片描述][20200515164159948.png]  
    注：这种模式是最方便但最不安全的模式。因此这就要求我们对`client`完全的信任，而`client`本身也是安全的。因此这种模式一般用来提供给我们完全信任的服务器端服务。比如，合作方系统对接，拉取一组用户信息。

# 二、资源服务器 #

> 代码和环境搭建忽略，详情见：https://github.com/hucheng1997/security-oauth2

## 2.1 资源服务器配置 ##

资源服务器配置类继承`ResourceServerConfigurerAdapter`重写`configure()`方法：

public class ResourceServerConfigurerAdapter implements ResourceServerConfigurer { 
        public ResourceServerConfigurerAdapter() { }
        public void configure(ResourceServerSecurityConfigurer resources){ }
        public void configure(HttpSecurity http){ }
    }

参数为`ResourceServerSecurityConfigurer`的`configure()`中主要配置：

*  **tokenServices**：`ResourceServerTokenServices`类的实例，用来实现令牌服务
 *  **tokenStore**：`TokenStore`类的实例，指定令牌如何访问，与`tokenServices`配置可选
 *  **resourceId**：这个资源服务的`ID`，这个属性是可选的，但是推荐设置并在授权服务中进行验证。
 *  其他的拓展属性例如`tokenExtractor`令牌提取器用来提取请求中的令牌。

参数为`HttpSecurity`的`configure()`中主要配置：

*  请求匹配器，用来设置需要进行保护的资源路径，默认的情况下是保护资源服务的全部路径。
 *  通过`http.authorizeRequests()`来设置受保护资源的访问规则
 *  其他的自定义权限保护规则通过`HttpSecurity`来进行配置。

@EnableResourceServer 注解自动增加了一个类型为`OAuth2AuthenticationProcessingFilter` 的过滤器链。

## 2.2 测试 ##

**申请令牌：**  
![在这里插入图片描述][20200515174747244.png]  
访问资源：  
![在这里插入图片描述][20200515174815324.png]  
使用错误的`token`访问资源：  
![在这里插入图片描述][20200515174930422.png]

[20200515143145439.png]: /images/20230312/a1b51ffe60e5423ab28b67a540947066.png
[20200515144019177.png]: /images/20230312/a61a18511e2a459b9ee3f43ed60d4d89.png
[20200515144148268.png]: /images/20230312/bb459fb452c54653a87542f2dbf786f7.png
[20200515144344761.png]: /images/20230312/a5517e3171e545fc96fe13d98b7088f5.png
[20200515144409437.png]: /images/20230312/005c48e3dd954831906e27b764691090.png
[20200515161306814.png]: /images/20230312/bf1adb085c3a430895d2914273f83584.png
[20200515161635841.png]: /images/20230312/e918ee083ef94c539c214b4f971bcb51.png
[20200515161925724.png]: /images/20230312/891e6d0857b74c7a9b73ea4ccee2cd0d.png
[20200515163409710.png]: /images/20230312/430a9d70d1f5461c8a122cdeee69749e.png
[20200515162231461.png]: /images/20230312/e83cf141bdaf4e1bbe7307c186be3691.png
[20200515164159948.png]: /images/20230312/7e6cf383e8cd43d9b4aec7edfe30487f.png
[20200515174747244.png]: /images/20230312/3fc258109a474679b2bd58788b7298fe.png
[20200515174815324.png]: /images/20230312/5bbeb29a674d40249f404978389e1e63.png
[20200515174930422.png]: /images/20230312/e99e6237c35e4dbdae66e492a5638cc4.png