Java实现微信扫码登录并实现认证授权

以你之姓@ 2023-09-27 14:45 156阅读 0赞

## Java实现微信扫码登录并实现认证授权 ##

### 1.登录流程及原理 ###

#### 1.1 OAuth2协议 ####

网站应用微信登录是基于OAuth2.0协议标准构建的微信OAuth2.0授权登录系统。 在进行微信OAuth2.0授权登录接入之前，在微信开放平台注册开发者帐号，并拥有一个已审核通过的网站应用，并获得相应的 AppID 和 AppSecret，申请微信登录且通过审核后，可开始接入流程。

方案流程：

+--------+                               +---------------+
         |        |--(A)- Authorization Request ->|   Resource    |
         |        |                               |     Owner     |
         |        |<-(B)-- Authorization Grant ---|               |
         |        |                               +---------------+
         |        |
         |        |                               +---------------+
         |        |--(C)-- Authorization Grant -->| Authorization |
         | Client |                               |     Server    |
         |        |<-(D)----- Access Token -------|               |
         |        |                               +---------------+
         |        |
         |        |                               +---------------+
         |        |--(E)----- Access Token ------>|    Resource   |
         |        |                               |     Server    |
         |        |<-(F)--- Protected Resource ---|               |
         +--------+                               +---------------+

OAuth2包括以下角色：

1、客户端

本身不存储资源，需要通过资源拥有者的授权去请求资源服务器的资源，比如：手机客户端、浏览器等。

2、资源拥有者

通常为用户，也可以是应用程序，即该资源的拥有者。

A表示客户端请求资源拥有者授权。

B表示资源拥有者授权客户端访问自己的用户信息。

3、授权服务器（也称认证服务器）

认证服务器对资源拥有者进行认证，还会对客户端进行认证并颁发令牌。

C 客户端携带授权码请求认证。

D认证通过颁发令牌。

4、资源服务器

存储资源的服务器。

E表示客户端携带令牌请求资源服务器获取资源。

F表示资源服务器校验令牌通过后提供受保护资源。

#### 2.2 **微信扫码登录流程** ####

以浏览器上扫码登录为例：

![微信扫码登录流程][17_13_19-_.png]

认证登录流程：

1、用户申请登录网站，扫微信二维码，请求微信授权登录；

2、用户确认后，微信端会携带code重定向到该网站；

3、网站带上code、appid、appsecret向微信端申请access\_token；

4、微信返回access\_token，网站带上access\_token向微信服务端获取用户信息；

5、网站拿到信息后重定向到登陆界面即登陆成功。

### 2.代码实现 ###

本项目认证服务需要做哪些事？

1、需要定义接口接收微信下发的授权码。

2、收到授权码调用微信接口申请令牌。

3、申请到令牌调用微信获取用户信息

4、获取用户信息成功将其写入本项目用户中心数据库。

5、最后重定向到浏览器自动登录。

代码如下：

#### 2.1 controller ####

@Controller
    public class WxLoginController {
        
    
     @Autowired
     WxAuthServiceImpl wxAuthService;
    
     /**
      * 用户扫码确认登录后进入该接口，收到wx端重定向传过来的授权码，用授权码申请令牌，查询用户信息，写入用户信息
      * @param code 微信端返回的授权码
      * @param state 用于保持请求和回调的状态，授权请求后原样带回给第三方。
      *              该参数可用于防止 csrf 攻击（跨站请求伪造攻击），建议第三方带上该参数，
      *              可设置为简单的随机数加 session 进行校验
      * @return
      * @throws IOException
      */
      @RequestMapping("/wxLogin")
      public String wxLogin(String code, String state) throws IOException {
        
    
         //拿授权码申请令牌，查询用户
       XcUser xcUser = wxAuthService.wxAuth(code);
       if(xcUser == null){
        
         //重定向到一个错误页面
         return "redirect:http://www.xxxxxxx.com/error.html";
       }else{
        
        String username = xcUser.getUsername();
        //重定向到登录页面，自动登录
         return "redirect:http://www.xxxxxxx.com/sign.html?username="+username+"&authType=wx";
       }
      }
    }

#### 2.2 WxAuthServiceImpl ####

这里直接用service实现类；

@Service("wx_authservice")
    public class WxAuthServiceImpl implements AuthService {
        
    
        @Autowired
        UserMapper userMapper;
        @Value("${weixin.appid}")
        String appid;
        @Value("${weixin.secret}")
        String secret;
        @Autowired
        RestTemplate restTemplate;
        @Autowired
        UserRoleMapper userRoleMapper;
        @Autowired
        WxAuthServiceImpl currentProxy;
    
        //拿授权码申请令牌，查询用户
        public User wxAuth(String code) {
        
            //拿授权码获取access_token
            Map<String, String> access_token_map = getAccess_token(code);
            System.out.println(access_token_map);
            //得到令牌
            String access_token = access_token_map.get("access_token");
            //得到openid
            String openid = access_token_map.get("openid");
            //拿令牌获取用户信息
            Map<String, String> userinfo = getUserinfo(access_token, openid);
            System.out.println(userinfo);
            //添加用户到数据库
            User User = currentProxy.addWxUser(userinfo);
    
            return User;
        }
    
        @Transactional
        public User addWxUser(Map userInfo_map){
        
    
            //先取出unionid
            String unionid = (String) userInfo_map.get("unionid");
            //根据unionid查询数据库
            User User = userMapper.selectOne(new LambdaQueryWrapper<User>().eq(User::getWxUnionid, unionid));
            if(User!=null){
        
                //该用户在系统存在
                return User;
            }
            User = new User();
            //用户id
            String id = UUID.randomUUID().toString();
            User.setId(id);
            User.setWxUnionid(unionid);
            //记录从微信得到的昵称
            User.setNickname(userInfo_map.get("nickname").toString());
            User.setUserpic(userInfo_map.get("headimgurl").toString());
            User.setName(userInfo_map.get("nickname").toString());
            User.setUsername(unionid);
            User.setPassword(unionid);
            User.setUtype("101001");//学生类型
            User.setStatus("1");//用户状态
            User.setCreateTime(LocalDateTime.now());
            userMapper.insert(User);
            UserRole UserRole = new UserRole();
            UserRole.setId(UUID.randomUUID().toString());
            UserRole.setUserId(id);
            UserRole.setRoleId("17");//学生角色
            userRoleMapper.insert(UserRole);
            return User;
    
        }
    
        //请求微信获取令牌
    
        /**
         * 微信接口响应结果
         * {
         * "access_token":"ACCESS_TOKEN",
         * "expires_in":7200,
         * "refresh_token":"REFRESH_TOKEN",
         * "openid":"OPENID",
         * "scope":"SCOPE",
         * "unionid": "o6_bmasdasdsad6_2sgVt7hMZOPfL"
         * }
         */
        private Map<String, String> getAccess_token(String code) {
        
            String url_template = "https://api.weixin.qq.com/sns/oauth2/access_token?appid=%s&secret=%s&code=%s&grant_type=authorization_code";
            String url = String.format(url_template, appid, secret, code);
            //请求微信获取令牌
            ResponseEntity<String> response = restTemplate.exchange(url, HttpMethod.POST, null, String.class);
    
            System.out.println(response);
            //得到响应串
            String responseString = response.getBody();
            //将json串转成map
            Map map = JSON.parseObject(responseString, Map.class);
            return map;
        }
    
        //携带令牌查询用户信息
        //http请求方式: GET
        //https://api.weixin.qq.com/sns/userinfo?access_token=ACCESS_TOKEN&openid=OPENID
        /**
         {
         "openid":"OPENID",
         "nickname":"NICKNAME",
         "sex":1,
         "province":"PROVINCE",
         "city":"CITY",
         "country":"COUNTRY",
         "headimgurl": "https://thirdwx.qlogo.cn/mmopen/g3MonUZtNHkdmzicIlibx6iaFqAc56vxLSUfpb6n5WKSYVY0ChQKkiaJSgQ1dZuTOgvLLrhJbERQQ4eMsv84eavHiaiceqxibJfHe/0",
         "privilege":[
         "PRIVILEGE1",
         "PRIVILEGE2"
         ],
         "unionid": " o6_bmasdasdsad6_2sgVt7hMZOPfL"
    
         }
        */
        private Map<String,String> getUserinfo(String access_token,String openid) {
        
            //请求微信查询用户信息
            String url_template = "https://api.weixin.qq.com/sns/userinfo?access_token=%s&openid=%s";
            String url = String.format(url_template,access_token,openid);
            ResponseEntity<String> response = restTemplate.exchange(url, HttpMethod.GET, null, String.class);
            String body = response.getBody();
            //将结果转成map
            Map map = JSON.parseObject(body, Map.class);
            return map;
    
        }
    }

### 3.认证授权 ###

项目集成了Spring Security，还需从用户信息中获取该用户的权限信息；

#### 3.1 UserServiceImpl ####

重写了Spring Security的用户认证方式，使其接入微信登录认证；

authParamsDto 认证参数定义；

/**
     * @description 统一认证入口后统一提交的数据
     */
    @Data
    public class AuthParamsDto {
        
    
        private String username; //用户名
        private String password; //域  用于扩展
        private String cellphone;//手机号
        private String checkcode;//验证码
        private String checkcodekey;//验证码key
        private String authType; // 认证的类型   password:用户名密码模式类型    sms:短信模式类型
        private Map<String, Object> payload = new HashMap<>();//附加数据，作为扩展，不同认证类型可拥有不同的附加数据。如认证类型为短信时包含smsKey : sms:3d21042d054548b08477142bbca95cfa; 所有情况下都包含clientId
    }

用户扩展信息定义；

/**
     * @description 用户扩展信息
     */
    @Data
    public class XcUserExt extends XcUser {
        
        //用户权限
        List<String> permissions = new ArrayList<>();
    }

loadUserByUsername()方法重写，使其支持微信认证；

@Slf4j
    @Service
    public class UserServiceImpl implements UserDetailsService {
        
    
        @Autowired
        UserMapper userMapper;
        @Autowired
        ApplicationContext applicationContext;
        @Autowired
        MenuMapper menuMapper;//菜单权限mapper
    
        //传入的是AuthParamsDto的json串
        @Override
        public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {
        
            AuthParamsDto authParamsDto = null;
            try {
        
                //将认证参数转为AuthParamsDto类型
                authParamsDto = JSON.parseObject(s, AuthParamsDto.class);
            } catch (Exception e) {
        
                log.info("认证请求不符合项目要求:{}",s);
                throw new RuntimeException("认证请求数据格式不对");
            }
            //认证方式,
            String authType = authParamsDto.getAuthType();
            //从spring容器中拿具体的认证bean实例
            AuthService authService = applicationContext.getBean(authType + "_authservice", AuthService.class);
            //开始认证,认证成功拿到用户信息
            UserExt UserExt = authService.execute(authParamsDto);
    
            return getUserPrincipal(UserExt);
        }
        //根据UserExt对象构造一个UserDetails对象
        /**
         * @description 查询用户信息
         * @param user  用户id，主键
         * @return 用户信息
         */
        public UserDetails getUserPrincipal(UserExt user){
        
    
            //权限列表，存放的用户权限
            List<String> permissionList = new ArrayList<>();
    
            //根据用户id查询数据库中他的权限
            List<Menu> Menus = menuMapper.selectPermissionByUserId(user.getId());
            Menus.forEach(menu->{
        
                permissionList.add(menu.getCode());
            });
            if(permissionList.size()==0){
        
                //用户权限,如果不加报Cannot pass a null GrantedAuthority collection
                permissionList.add("test");
            }
    
            String[] authorities= permissionList.toArray(new String[0]);
            //原来存的是账号，现在扩展为用户的全部信息(密码不要放)
            user.setPassword(null);
            String jsonString = JSON.toJSONString(user);
            UserDetails userDetails = User.withUsername(jsonString).password("").authorities(authorities).build();
    
            return userDetails;
        }
    
    }

#### 3.2 service接口 ####

public interface AuthService {
        
    
      /**
       * @description 认证方法
       * @param authParamsDto 认证参数
       * @return 用户信息
       */
      UserExt execute(AuthParamsDto authParamsDto);
    
    }

上述`execute()`方法在微信登录服务实现类`WxAuthServiceImpl`中实现

//微信认证方法
        @Override
        public UserExt execute(AuthParamsDto authParamsDto) {
        
            //获取账号
            String username = authParamsDto.getUsername();
            User user = userMapper.selectOne(new LambdaQueryWrapper<User>().eq(User::getUsername,username));
            if(user==null){
        
                throw new RuntimeException("用户不存在");
            }
            UserExt userExt = new UserExt();
            BeanUtils.copyProperties(user, userExt);
    
            return userExt;
        }

#### 3.3 自定义DaoAuthenticationProvider； ####

SpringSecurity框架默认是密码校验模式，将其重写为空，使其不再校验密码；

@Slf4j
    @Component
    public class DaoAuthenticationProviderCustom extends DaoAuthenticationProvider {
        
    
     @Autowired
     @Override
     public void setUserDetailsService(UserDetailsService userDetailsService) {
        
      super.setUserDetailsService(userDetailsService);
     }
    
     @Override
     //不再校验密码
     protected void additionalAuthenticationChecks(UserDetails userDetails, UsernamePasswordAuthenticationToken authentication) throws AuthenticationException {
        
    
     }

修改`WebSecurityConfig`类指定自定义的`daoAuthenticationProviderCustom`

@Autowired
        DaoAuthenticationProviderCustom daoAuthenticationProviderCustom;
    
        //使用自己定义DaoAuthenticationProviderCustom来代替框架的DaoAuthenticationProvider
        @Override
        protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        
            auth.authenticationProvider(daoAuthenticationProviderCustom);
        }

至此我们基于Spring Security认证流程修改为如下：

![image-20230221184043661][]

完成！

[17_13_19-_.png]: https://hj-typora.oss-cn-chengdu.aliyuncs.com/img/2023/02/21/17:13:19-微信扫码登录流程.png
[image-20230221184043661]: https://img-blog.csdnimg.cn/img_convert/66bbb9e77476e72416b0356688c82d1a.png