社区首页 >专栏 >Spring Cloud Security OAuth2 中实现密码模式

Spring Cloud Security OAuth2 中实现密码模式

原创

堕落飞鸟

发布于 2023-04-13 23:21:47

1.3K00

代码可运行

文章被收录于专栏：飞鸟的专栏飞鸟的专栏

运行总次数：0

代码可运行

Spring Cloud Security OAuth2是Spring Cloud提供的基于OAuth2协议的安全授权框架，它可以让我们轻松地实现OAuth2的各种授权流程。

一、前置准备工作

在使用Spring Cloud Security OAuth2实现密码模式授权之前，我们需要进行以下准备工作：

创建Spring Boot项目

在开始之前，我们需要创建一个Spring Boot项目作为基础。我们可以使用Spring Initializr或手动创建一个Spring Boot项目。

添加Spring Cloud Security OAuth2依赖

在项目中添加Spring Cloud Security OAuth2的依赖，以支持OAuth2协议的安全授权功能。

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-starter-oauth2</artifactId>
    <version>2.2.6.RELEASE</version>
</dependency>

配置数据库

在使用Spring Cloud Security OAuth2时，需要配置相应的数据库，用于存储OAuth2的相关信息。这里我们以MySQL数据库为例进行配置。

二、实现密码模式授权

配置认证服务器

在Spring Boot项目中添加配置类OAuth2AuthorizationServerConfig，用于配置认证服务器：

@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private DataSource dataSource;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.jdbc(dataSource);
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authenticationManager);
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security.allowFormAuthenticationForClients();
    }
}

在上面的配置类中，我们配置了使用数据库存储OAuth2的客户端信息，并配置了认证服务器的端点，同时还配置了允许表单认证。

配置资源服务器

在Spring Boot项目中添加配置类OAuth2ResourceServerConfig，用于配置资源服务器：

@Configuration
@EnableResourceServer
public class OAuth2ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/api/**").authenticated();
    }
}

在上面的配置类中，我们配置了资源服务器的安全策略，只允许访问"/api/**"接口的用户进行授权。

配置安全策略

在Spring Boot项目中添加配置类SecurityConfig，用于配置安全策略：：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private DataSource dataSource;

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.jdbcAuthentication()
            .dataSource(dataSource)
            .usersByUsernameQuery("select username, password, enabled from user where username = ?")
            .authoritiesByUsernameQuery("select username, authority from authorities where username = ?");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/oauth/token").permitAll()
            .anyRequest().authenticated()
            .and().csrf().disable();
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

在上面的代码中，我们使用了Spring Security提供的JdbcAuthentication，将用户信息存储在MySQL数据库中。同时，我们还配置了"/oauth/token"接口的访问权限，并禁用了跨站请求伪造防护。

三、测试授权流程

在完成以上的配置后，我们就可以使用密码模式进行授权了。以下是测试密码模式授权的流程：

获取授权码

我们可以使用curl命令来模拟获取授权码的请求：

$ curl -X POST \
    -H "Authorization: Basic Y2xpZW50OnNlY3JldA==" \
    -d "grant_type=password&username=user&password=password" \
    "http://localhost:8080/oauth/token"

其中，Authorization头部包含了客户端的ID和Secret，"grant_type=password"表示使用密码模式进行授权，"username=user&password=password"表示使用用户名和密码进行身份验证。

如果授权成功，我们会得到一个JSON响应：

{
    "access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyIiwic2NvcGVzIjpbInJlYWQiLCJ3cml0ZSJdLCJhdGkiOiIxMTIzNDU2Nzg5MCJ9.pSbSvReFV7OZ_Tp-DZ_wJeL-av-eK-LW-cFiAnO5PQo",
    "token_type": "bearer",
    "refresh_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyIiwic2NvcGVzIjpbInJlYWQiLCJ3cml0ZSJdLCJhdGkiOiIxMTIzNDU2Nzg5MCJ9.Aqb5K5g9f_9Mj6HJU6M_W_y4D8OzVH1StAf0y7VbPvA",
    "expires_in": 43199,
    "scope": "read write",
    "jti": "11234567890"
}

访问资源

我们可以使用刚刚获取到的access_token来访问受保护的资源：

$ curl -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJ1c2VyIiwic2NvcGVzIjpbInJlYWQiLCJ3cml0ZSJdLCJhdGkiOiIxMTIzNDU2Nzg5MCJ9.pSbSvReFV7OZ_Tp-DZ_wJeL-av-eK-LW-cFiAnO5PQo" \
    "http://localhost:8080/api/hello"

如果access_token有效，我们会得到以下响应：