如何通过令牌而不是cookie中的jsession来访问spring客户端后端oauth2？
通过令牌而不是cookie中的jsession来访问Spring客户端后端OAuth2可以通过以下步骤实现：
- 配置Spring Security：在Spring Security配置文件中，将会话管理策略设置为STATELESS，这样可以禁用基于cookie的会话管理。
- 获取访问令牌：客户端应该使用OAuth2的授权码模式或密码模式向授权服务器请求访问令牌。授权服务器将返回一个访问令牌和可选的刷新令牌。
- 传递访问令牌：在与后端通信时，客户端应该将访问令牌作为请求的一部分发送给后端。可以通过在请求头中添加Authorization字段，值为"Bearer <access_token>"的方式传递访问令牌。
- 后端验证令牌：后端应该验证传递的访问令牌的有效性和权限。可以使用Spring Security OAuth2提供的TokenStore接口来验证令牌。TokenStore接口的实现可以存储令牌并提供验证和解析令牌的方法。
- 处理令牌过期：如果访问令牌过期，客户端可以使用刷新令牌向授权服务器请求新的访问令牌。刷新令牌应该在安全的方式下进行传输，例如通过HTTPS。
总结： 通过令牌而不是cookie中的jsession来访问Spring客户端后端OAuth2可以提高安全性和跨域访问的能力。客户端通过获取访问令牌，并将其作为请求的一部分发送给后端，后端验证令牌的有效性和权限。如果令牌过期，客户端可以使用刷新令牌获取新的访问令牌。这种方式可以避免使用基于cookie的会话管理，提高系统的安全性和可扩展性。
腾讯云相关产品推荐：
相关·内容
我知道你可能会被标题搞糊涂。请看图片。
我有一个由spring security和spring security oauth2客户端保护的后端服务器。
@EnableWebSecurity
public class OAuth2ClientSecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
浏览 10提问于2019-12-04得票数 0
回答已采纳
使用简单的后端(如Spring)和SPA前端和OAuth2 auth提供者，基于http会话实现授权的正确方法是什么？
使用术语“正确”，我指的是模拟用户获取会话cookie的后端的方法。
不幸的是，到处都有“可伸缩、restful、无状态”的JWT炒作。但是我的应用程序将被很少的用户使用，它只需要由http会话提供的普通的、好的安全性。目前Okta解决方案提出的“建议”导致对每个API请求进行验证，因此每个调用都有很大的开销，这导致性能不佳。
假设我们在myapp.com上公开了SPA应用程序，并且它的后端通过myapp.com/api在代理上公开。
我想的是这个场景的实现：
用户访问S
浏览 0提问于2019-04-01得票数 1
回答已采纳
1回答
我是OAuth2和(以及WebFlux方面的新成员)。
我的团队决定从Zuul网关转移到。目前的Spring版本是"Greenwich.SR1“
问题是，spring云网关总是响应401。
如何在Spring网关上正确传递访问令牌？
Auth服务器：
@EnableEurekaClient
@EnableAuthorizationServer
@SpringBootApplication
public class AuthServer {...} // jwtAccessTokenConverter bean included
Zuul服务器是：
@EnableEurekaClient
浏览 1提问于2019-06-05得票数 1
回答已采纳
我刚开始反应，我想安全地存储OAuth2访问令牌以调用API。我发现了以下几种选择
将其保存在本地存储/会话存储中(这可能容易受到XSS攻击)。
拥有一个用于React应用程序的后端，并在后端会话中存储访问令牌，并保留一个会话cookie以标识浏览器会话。然后通过后端进行所有的API调用，以添加比勒头。
加密访问令牌并将其存储为cookie。API访问将通过后端进行避风港，加密的cookie将被解密，并作为Bearer报头添加。
解决这个问题的最好办法是什么？
浏览 0提问于2019-06-28得票数 3
回答已采纳
2回答
我想建立一个基于spring、security和spring-oauth2的简单OAuth2提供程序。
我在一个实例机器上完成了所有工作:对于OAuth2授权，用户被发送到/oauth/authorize。大多数用户没有登录，因此通过spring安全性将它们重定向到/login，然后返回t /oauth/authorize以完成授权。
在默认配置中，spring安全使用会话id在用户浏览器中设置cookie，并将会话数据存储在内存中。
public static class SecurityConfiguration extends WebSecurityConfigurerAdapter {
浏览 12提问于2016-07-07得票数 12
我们正在开发一个有状态的应用程序。为此，在前端，我们使用Angular5，在后端使用Spring Rest。成功登录后，服务器返回或在cookie中设置JSESSION ID。我们对Angular2的了解有限。据我们所知，Angular没有提供处理cookie部分的API。
浏览 0提问于2018-10-01得票数 1
我正在开发一个带有角前端和Java/Spring后端的应用程序。为了登录到我们的后端，我们使用Oauth2授权代码流与PKCE和开放ID连接。
当用户导航到受保护的路由时，他被重定向到他的IDP，并且必须登录。之后，他被返回到一个redirect_uri中，authorization_code作为authorization_code参数。到目前为止一切都很清楚。
现在，我不知道将此代码转换为access_token的最佳方式是什么？到目前为止，我已经在客户机上(在JavaScript中)完成了这个操作，并使用接收到的JWT进行进一步的后端调用(在后端，我只是验证签名)，这看起来确实有效。但在其
浏览 1提问于2020-10-08得票数 0
回答已采纳
我正在使用spring security 3.0和Spring MVC。我的Java Web应用程序是一个购物车。我正在使用一个在会话中存储购物清单的服务，当用户A创建购物清单，然后继续注销并再次登录时，购物清单将恢复为正常，但如果另一个用户B转到相同的应用程序，使用相同的浏览器继续登录，则使用用户A！的购物列表恢复会话。
我所能理解的是，当用户A在同一浏览器中注销时，JSESSION cookie不会改变。这就是为什么如果用户A使用另一个浏览器登录到应用程序，他没有相同的会话数据，JSESSION cookie就会不同。
我使用自己的身份验证成功处理程序进行登录和注销。
<ht
浏览 0提问于2011-06-10得票数 0
回答已采纳
2回答
我正在使用授权授权流程在我的应用程序中设置OAuth2。我还在使用create-react- app，这样我就可以在localhost:3000上进行开发，它可以代理到我在localhost:8080上的应用服务器后端。
除了我不能让CSRF令牌工作之外，大多数情况下都可以工作。
我意识到这是因为我将OAuth2重定向URL设置为后端，因此它没有发送私有的加密csrf_state cookie，因为请求来自谷歌而不是我的应用程序。
我认为这在生产中不会是问题，因为不会有代理服务器。相反，后端和前端都将从同一mydomain.com提供服务
那么，我是不是应该不在开发阶段做这项工作呢？或者我应该
浏览 4提问于2019-12-01得票数 5
2回答
如何在Spring之上实现java后端，我们将只使用REST来访问后端。用户可以通过标准登录/密码和社会认证(facebook、google等)登录。是否有一个标准的oauth2实现，我们可以使用这个需求。任何帮助都将不胜感激。谢谢!
浏览 5提问于2015-03-21得票数 1
回答已采纳
1回答
我们有一个基于Spring的网关，使用Security、OAuth2登录和Zuul路由.它还使用Spring会话在Redis中存储会话。此网关在会话中存储一个OAuth2令牌，并将OAuth2标记转发给后端服务。
我们有一个问题，用户经常被签出去。这似乎大约每小时发生一次。我们甚至不太清楚是什么原因造成了这一切与所有不同的工具到位。
浏览器中的会话cookie将在较长时间内过期。因此，我怀疑这要么是Spring使会话无效，要么是OAuth2令牌过期。
从代码的快速检查来看，OAuth2TokenRelayFilter似乎支持刷新令牌。这是正确的吗？
如何找出其原因并加以修正？
作为参考，我们正
浏览 3提问于2020-05-14得票数 5
我使用Spring Security在我的应用程序中实现了OAuth2。目前只支持access_token请求参数。我可以在哪里添加一些自定义，以也接受来自cookie的令牌？
浏览 3提问于2013-01-05得票数 1
回答已采纳
我计划使用Spring后端和客户端在RESTful上创建应用程序。
我想用谷歌RESTful授权服务器来保护我的Spring。
我有一个建筑问题：
在谷歌获得成功授权后，我将从谷歌OAuth2授权服务器接收OAuth2。我是否需要将这个accessToken传输到我的客户端应用程序(AngularJS)，还是需要在我的后端应用程序(例如JWT)中引入一些自己的安全层，并基于发布自己的jwtToken，并且只将这个令牌传输给我的客户端应用程序？
换句话说，将accessToken从谷歌展示到我的客户端AngularJS应用程序并在我自己的RESTful API中进行身份验证是否安全？
此外，如果
浏览 2提问于2016-01-06得票数 9
回答已采纳
2回答
我使用java和springboot 2.x开发了我的应用程序后端，而另一方面，我使用了我的角形应用程序。我还使用OAuth2协议进行登录，我需要的是保存google在登录cookie后提供的JSESSION id，然后在每个请求中将其发送到后端应用程序。我读过关于使用HttpInterceptor的文章，但我想不出来。有什么帮助吗？谢谢
浏览 0提问于2018-07-30得票数 1
回答已采纳
我是spring安全性的新手，我正在经历spring引导、jwt和流程，但我不知道如何通过jwt使用注销特性。例如，当用户在之后使用该令牌单击注销时，我们无法访问安全的Rest端点。
现在，我想要的是使用JWT(Spring )实现注销功能，该功能用于实时项目及其代码。
Please if any one can provide me the github link to the solution
或可以将代码发送到
ag.rajat113@gmail.com
以及任何与最新的春季安全项目相关的实时(后端)和oAuth2资料，请发送给我，我需要这个。
谢谢。
浏览 1提问于2019-07-11得票数 0
回答已采纳
我正在使用AuthorizationServerConfigurerAdapter配置我的OAuth2密码流，其中我成功地创建了一个JWT令牌。我在Spring REST后端使用我的OAuth2，并将其与Angular 2前端配对。
我已经读了几篇文章(例如：)，人们将JWT放在返回到Angular前端的HTTP only cookie中，以防止XSS脚本，我对此很感兴趣。我搞不懂如何集成或拦截返回的jwt，并将其放入仅限http的cookie中并返回它。
有什么建议吗？
约翰
浏览 11提问于2017-01-16得票数 0
回答已采纳
1回答
我是Spring生态系统的新手，由于对Spring的了解有限，我了解了Security OAuth2的工作原理。
我需要以下功能，我认为OAuth2不是我应该看到的
客户端通过POST请求将从谷歌登录接收的POST发送到/register端点。
后端服务验证id_token并从Google中识别用户详细信息。
后端服务在成功的set-cookie验证后使用id_token报头进行响应。
还应该对包含cookie的客户端请求进行身份验证。
我甚至可以使用id_token对每个请求进行身份验证。
我希望任何客户端(不仅仅是浏览器)都可以使用该服务。所以，我认为OAuth2不
浏览 5提问于2021-03-25得票数 0
2回答
我一直在深入研究OAuth2 / OpenID连接(OIDC)，在很多方面我觉得自己更聪明，但在很多方面，我担心一个简单的错误会让我变得脆弱。我正在开发超标准的商业应用程序。所以是时候问路了：
平台：关键云创建/ UAA
后端：SpringBoot1.5.x(但现在看2.0 )
前端：React SPA
OAuth2：带有openid作用域的Auth代码授予
我得到了id_token，access_token，和refresh_token
我有一百万个问题，但让我们从基本问题开始：
是否可以接受id_token并将其发送到浏览器中的react代码并将其存储在会话存储
浏览 0提问于2018-03-05得票数 0
回答已采纳
我有一个移动应用程序，它使用我的Spring后端来进行身份验证和访问数据。Spring应用程序的一部分使用OAuth2从资源服务器访问数据。我偶然发现了一个 for Spring，它发挥了它的魔力，而且一切都是凭空捏造的。
当我试图弄清楚这个库是如何工作的时，我似乎找不到它处理刷新令牌的方法的答案。我知道oauth2client绑定到每个用户的会话，但是当会话结束时会发生什么呢？访问和刷新令牌不会丢失吗？
我在为数据库中的每个用户寻找持久刷新令牌的方法，但在库中没有找到对此的任何支持。这让我想知道我是否必须自己实现它，或者是否有必要这样做。
如有任何建议，敬请谅解！
浏览 2提问于2019-10-14得票数 0
我正在尝试创建一个项目，该项目在后端将Android客户端与spring-boot微服务体系结构相结合。客户端应用程序将通过一系列Rest API与后端通信，但在执行此操作时将需要登录/身份验证。对于认证/授权，这将通过第三方/社交登录-即谷歌/脸书等使用Oauth2完成。
似乎有很多文档解释了Oauth2协议是如何工作的，比如资源所有者通过授权服务器授予访问权限、代码和令牌交换、重定向到客户端以及使用所提供的令牌从资源服务器访问资源。我在以下网址跟随指南：
我已经用它来指导配置一个带有登录按钮的基本应用程序，这些按钮可以用来检索令牌。我现在的问题是，我需要能够做的是扩展第三方登录，以涵盖应
浏览 5提问于2021-06-24得票数 0
2回答
我有一个允许用户登录的spring引导后端。
当我使用postman发送一个json有效负载来登录一个用户时，它会用一个用于JSESSION的cookie返回正确的响应。
当我在react (axios)中发送有效负载时，我没有看到JSESSION的cookie，但是响应仍然可以吗？
const API_URL = "http://localhost:8080/api/auth/";
login(uniqueId: string, password: string) {
return axios.post(API_URL + "login", JS
浏览 10提问于2022-04-27得票数 0
回答已采纳
我的项目在Vue上有前端，在Spring中有后端。此外，我还实现了作为我的身份验证方法。我用Thymeleaf创建了一个自定义登录页面。
但问题是，我想在Vue上使用我的组件，在登录页面中。这意味着我希望我的登录页面在Vue中，而在后端具有身份验证服务。
我在网上研究，但找不到任何例子。我想知道这是否可能。我的意思是，只需在前端创建自定义登录页面，并使用，OAuth2。
浏览 5提问于2022-09-22得票数 0
回答已采纳
我使用Session和OAuth2为多租户应用程序构建了一个SSO，并拥有一个具有不同前端客户端和后端服务器的应用程序。(我使用了本教程)。
因此，现在的问题是，每个客户端(租户)运行在与后端服务器不同的域上，因此后端服务器只有一个cookie，用户不能同时在两个不同的租户上登录。(每个租户都有不同的无记名代币，所以只有cookie才是问题所在)
这个想法应该是以某种方式将spring配置为在服务器上创建一个不同的会话cookie (我没有做到/不知道这是否可能)。
另外，我不明白为什么我需要那个cookie，因为我使用的是基于令牌的身份验证。
我确实理解，如果用户关闭浏览器并再次打开浏览器，
浏览 0提问于2019-01-17得票数 0
1回答
我想开发一个基于Spring安全的OAuth2服务器。我的UI与后端(Angular.js)完全解耦。应该有这样的apis : 1) /security/oauth2/token用于颁发令牌2) /security/oauth2/validate用于验证令牌等
这些REST和Spring配置不应该包含任何与UI或MVC相关的信息，这与正常的Spring安全性不同。
你知道怎么做吗？
浏览 2提问于2016-08-15得票数 1
我的目标是通过在服务器端的上使用一个服务帐户来获取谷歌的采购信息。
api需要oauth2身份验证。
因此，我创建了一个oauth2令牌，即client- -from . from，我是在服务器端的后端java spring应用程序中提供的。
GoogleCredentials googleCredentials = GoogleCredentials.fromStream(new FileInputStream("src/main/resources/client_secret.json")).createScoped("https://www.google
浏览 10提问于2022-05-09得票数 1
回答已采纳
1回答
我们正在尝试实现一个应用程序，其中UI是角的，后端是Spring。我们需要在应用程序中实现openId和oauth2。后端api需要更安全。
我只是混淆了哪些oauth流将用于授权授权流和密码授予流。
有谁能建议我在这个场景中需要使用哪一个，以及为什么？
浏览 2提问于2022-04-29得票数 -2
我在一个使用基于Spring的微服务的大型项目中工作的开发团队。我们最近发现了Spring Cloud项目，并正在试验实现Netflix服务，Zuul，Eureka，Ribbon等。
在我们的环境中，任何人都不能访问我们的应用程序将在其上运行的域，直到他们通过外部服务进行了预授权。一旦它们到达我们的应用程序，我们将能够通过授权服务提供的头标记来获取用户的身份。
我希望通过Spring Security设置Zuul，使用预身份验证过滤器建立用户会话，并使用Spring session使会话对所有后端微服务可用。
这是合法的方法吗？我在Zuul上看到的关于安全性的唯一信息是能够将OAuth2令牌代
浏览 0提问于2015-09-21得票数 4
回答已采纳
我是oauth2的新手，我正在努力理解。
我现正尝试设立以下项目：
spring后端作为资源服务器。基本上是一个使用JWT令牌保护的API，它基于令牌春季引导前端中的用户角色为数据库提供服务，它应该执行授权代码流登录、获取访问令牌并使用该令牌对后端进行API调用。
我应该如何配置这2项服务以实现我想要的？
我已经试过了：
配置了两个密钥披风中的客户端，一个用于BE，一个用于FE，使用Spring.security.oauth2.Resourceserver属性配置BE spring引导，并对其进行了测试，实际上JWT机制正在按预期工作，我可以看到我在密钥披风服务器中设置的角色，并将它们解析为权
浏览 3提问于2022-06-22得票数 0
回答已采纳
我试图了解spring引导如何使用http会话来管理oauth授权代码流。
我了解到，在用户通过/login表单提交凭据后，spring将持久化身份验证对象，以便在浏览器被重定向以检索授权代码时检索该对象。
我不明白的是，在调用此流时，浏览器是否需要向服务器或http基本身份验证标头发送jsession。
例如，如果我想通过curl手动启动流，需要指定任何特殊的头吗？
浏览 2提问于2018-01-06得票数 1
过去，我曾使用json网络令牌来处理一些业余爱好网站的身份验证。对于我的下一个站点，我想使用OAuth2，允许我的站点与其他服务一起使用。
OAuth2 authorization_code协议似乎增加了一些额外的步骤(状态和授权代码)，以防止一种重放攻击，其中一个客户端被欺骗使用向另一个客户端发出的访问令牌。
这是在令牌交换之前发出授权代码的唯一目的吗？如果我将诸如client_id和到期时间等信息添加到一个签名的JWT中，并将其返回为“授权_代码”，跳过令牌交换步骤，我会失去任何安全性吗？我假设所有的通信都发生在https上。
浏览 0提问于2017-02-24得票数 0
回答已采纳
3回答
问题：当我使用oauth2 (从服务器启动)对用户进行身份验证时，如何从oauth2回调获得初始用户id，以便将其映射回服务器上的初始auth请求？
Contex:
我正在开发一个网络应用程序，我需要让用户授权访问他们的谷歌日历。
考虑oauth流：
web客户端(发送请求到) -> 后端(发送oauth请求到) -> google (授予访问) -> 后端(我如何知道用户在此步骤中存储refresh_token?)
以下是更详细的缺省流：
用户登录到我的web应用程序(客户端)
web应用程序要求用户启动oauth2流(client)。
将"start
浏览 0提问于2019-04-28得票数 4
回答已采纳
在观看了大量关于OAuth2的教程之后，有一个每个人都反复声明的最佳实践--如果您有一个React应用程序(或者棱角，或者是Ember) --您必须与它一起使用隐式流。
我知道在公开可见的javascript中存储客户端凭据是行不通的。但是，我的情况有点不同：
我只将Oauth2用于单点登录和微服务令牌生成。我选择了它，而不是简单地生成令牌，因为支持良好的第三方库是围绕Oauth2理念构建的。
我的想法是拥有一个React应用程序和一个ASP.NET MVC应用程序，它为javascript提供服务，并充当API的代理。用户为服务器端应用程序进行身份验证(通过使用Oauth2授权代码流
浏览 1提问于2017-03-14得票数 5
回答已采纳
2回答
在OAuth2协议中，Client (RP In OIDC)应用程序获得访问令牌，使其能够代表资源所有者使用不同的服务(资源服务器角色)。
另一方面，在OpenID连接协议中，客户端获得两个令牌(访问和id令牌)。现在，这个客户端可以使用访问令牌从UserInfo端点获取用户声明。
OP (授权服务器)在这里扮演资源服务器的角色(就OAuth2而言)，客户端代表用户获取用户数据吗？
客户端如何使用ID令牌？客户端是否将此ID令牌传递给资源所有者的用户代理(Browser)，然后用户代理存储此令牌以启用SSO (cookie)？
客户端(例如，与获得ID令牌的客户端不同)是否必须在每
浏览 2提问于2018-07-06得票数 3
我已经阅读了几十篇文章，并使用授权代码授予类型检查了很多关于OAuth2的Github项目，但仍然认为我在这方面有一些错误。
我有以下展示案例的场景：
前端SPA应用程序( React )
在这个应用程序中，用户将使用她的github凭据登录，我将列出他的存储库和来自github的一些其他信息。
后端Spring :将进行github调用并返回对fe客户端的响应。
我的流量：
1-)用户单击github按钮登录并重定向到github：
(2)用户授权客户端并将其重定向为带有代码的Spring应用程序。使用此代码，它与访问令牌进行交换。
)在本节中，BE Spring获取
浏览 0提问于2021-07-19得票数 0
1回答
cookie集不起作用
、、、
我正在尝试为ajax请求添加一个cookie到后端服务器：
$.cookie("JSESSIONID", jsession);
问题是，当请求被执行时，cookie不会被附加。你知道为什么吗？
顺便说一下:这两个项目都位于本地vpn上：
front end : 10.0.50.18
back end: 10.0.110.42
浏览 6提问于2014-11-05得票数 0
我们的堆栈包括以下服务，每个服务在一个码头容器中运行：
前端反应
基于Spring引导的后端服务“资源-服务”
凯克雅克
其他后端服务(消费者)
前端和使用者服务都使用REST与后端通信。我们使用Keycloak作为用户管理和身份验证服务。
我们希望通过为web应用程序和服务流提供服务，将基于Spring的服务“资源-服务”与Keycloak集成起来：
Web应用程序-基于反应的前端发送，应该从“资源服务”获得一个重定向302，并将用户/浏览器发送到Keycloak站点，然后返回以获取所请求的资源。
服务器2服务器联合-需要使用“资源-服务”API的服务器应该获
浏览 6提问于2020-01-06得票数 4
1回答
我第一次为Android/iOS应用程序构建了一个后端。我熟悉web应用程序环境中的OAuth2工作流，但我真的不知道在本机应用程序中推荐的方法是什么。
应用程序的后端将需要使用谷歌OAuth2服务器生成的访问令牌来访问用户的配置文件。问题是，是更好地在客户端执行完整的令牌交换链，然后将访问令牌和刷新令牌发送到应用程序后端，还是更好地使用后端端点来执行最后的授权步骤(接收访问/刷新令牌)，然后以某种方式向用户设备发送通知，通知它授权完成。有没有这样的功能的例子可以让我看看？理想的方法应该是android和ios之间的类似方法。
谢谢。
浏览 0提问于2017-12-21得票数 0
1回答
从角应用程序调用REST
、、、
我正在尝试使用微服务架构来开发我的web应用程序。后端我使用Spring、Spring和Spring作为微服务。我的前端应用程序是一个角2应用程序。我的前端应用程序将根据后端休息结束点工作，这是从角2应用程序调用。
我正试图为这个web应用程序创建一个登录名。我计划使用API密钥对后端服务进行身份验证.我的登录检查功能也是一个微服务。在这里，当我调用我的后端服务时，我如何实现这个API关键功能？是否需要不断地设置为唯一变量？
这里的API密钥不能动态地管理，因为登录功能本身就是一个微服务，所以我需要使用API键来调用登录检查服务，这个服务已经部署在云中了吗？
我如何理解这种情况？
浏览 4提问于2017-12-08得票数 1
回答已采纳
1回答
在Ionic移动应用程序中，我们需要访问web 和，以便在Ionic WebView (本质上是应用程序内部的浏览器)中显示Web (都是SharePoint)。我们在Windows 2012和OnPrem SharePoint 2013上使用OnPrem ADFS。我们要做的是：
1.在ADFS3中， 并添加依赖方信任和客户端
2.从移动应用程序中调用ADFS以获得OAuth访问令牌。
首先，GETing：
https://myadfsdomain/adfs/oauth/authorize
?response_type=code
&client_id=MYCLIE
浏览 3提问于2017-02-09得票数 0
我开发的Spring REST API将作为后端。它将被web应用程序和移动应用程序访问。为了使这个API安全，我使用了Spring的oAuth2身份验证。我知道通过使用这种架构，我的应用程序接口是安全的，但是，有没有办法检查access_token是否从发出它的相同客户端(应用程序)使用？
浏览 0提问于2017-09-08得票数 5
如果oauth2授权发生在本地的android/ios应用程序中，我如何刷新令牌后端端？
我正致力于oauth2与谷歌日历的集成。我的堆栈是作为web客户端的SPA应用程序，我们有一个后端API (在灵丹妙药中)。我们还使用混合本地应用程序，因此我们的JS代码被转换成相应的iOS/Android应用程序(使用电容)。
流动情况如下：
用户授权我们使用oauth2修改他们的日历，我们请求从google 获得离线访问，我们将它发送到后端，它使用auth代码获取访问令牌和刷新令牌，然后这些令牌被保存在我们的DB中，我们使用访问令牌来执行对谷歌日历的更新。当令牌到期时，我们刷新它的后端端。
这就是在网
浏览 5提问于2022-03-25得票数 3
我正在使用Spring + Security OAuth2来使用Restful Oauth2服务。
我们的Oauth2服务总是期望HTTP，但是OAuth2AccessTokenSupport总是发送HTTP。
结果：
导致405 (不允许方法)；调用错误处理程序
protected OAuth2AccessToken retrieveToken(AccessTokenRequest request, OAuth2ProtectedResourceDetails resource,
MultiValueMap<String, String> form
浏览 0提问于2017-01-16得票数 1
回答已采纳
1回答
我从客户端用Facebook启动oAuth2，并在成功的用户登录后获得代码。现在，我想要一个access_token的交换代码，如：
如何将代码转换为令牌？我需要用REST GET请求WebClient还是用Spring控制器做简单的重定向？我想在没有任何外部库的情况下这样做。
我认为我的流程应该是：
用户单击Login with Facebook
用代码重定向到后端
获取access_token的代码和交换。
为用户数据调用图QL
保存用户数据，生成JWT并返回到前端。
浏览 5提问于2022-02-28得票数 1
我正在尝试使用NextJS + Java创建一个以Spring为后端的应用程序，我一直在尝试新的以及一个带有Spring和Security Oauth2客户端的BFF应用程序。
最近，我一直在研究这个，试图为我自己的应用程序实现一个前端模式的后端，我在Security Oauth2客户机上遇到了一些问题。
我读过，它似乎确实自动处理授权代码、刷新令牌、客户端凭据，如下面的代码所示，但我的问题是，如果它真的通过自己的特别刷新令牌之类的方式处理所有事情，我已经读过一篇关于它的文章，但这是我第一次在Oauth2客户端上访问，我想确定一下它，或者我是否完全迷失了方向。
@Bean @Primary
浏览 2提问于2022-06-04得票数 3
回答已采纳
我试图允许一个用户在多个设备上登录到同一个用户名中。在后端，我们通过oAuth2 npm包与oauth2orize JWT令牌一起使用node/express。
目前，我们的后端身份验证的工作方式是用户登录，发送一个JWT令牌和一个JWT刷新令牌。当用户注销令牌时，令牌将失效。我们遇到的问题是用户将在一台计算机上登录，然后登录到另一台计算机上的同一帐户。当第二次登录发生时，将向用户提供一个新的令牌和刷新令牌。现在，当用户返回到第一台计算机时，刷新令牌无效，导致用户注销。
其中一项工作是尝试在cookie中持久化一个sessionId，但是每个请求都会返回一个新的sessionId。下面是请求的
浏览 3提问于2015-08-10得票数 3
我正在为学校创建一个项目，我需要在spring引导中创建一个后端，并在普通的JS +HTML+ CSS中创建一个前端。由于两者都位于本地主机上，但分别位于不同的起源(即端口8080/5500 )上，所以我对CORS有一些问题，因为我的cookie没有保存在浏览器中，因此在后端和前端之间没有创建会话。这导致了一个问题，在登录后，我将无法访问安全的端点，因为它将要求我再次登录，因为没有建立会话。
我有什么解决办法使这个工作/保存饼干？
此外，我将给出几个细节和图像有关的问题，我有。
后端使用MySQL、spring和RestControllers。它基本上是一个简单的CRUD，我也增加了sprin
浏览 7提问于2022-10-13得票数 1
回答已采纳
我想将Twitter oAuth2添加到我的应用程序中。早些时候，我成功地添加了Facebook和google --我不需要添加提供商。当我尝试将推特数据添加到application.properties文件并运行服务器时，我得到错误：
Error starting Tomcat context. Exception: org.springframework.beans.factory.UnsatisfiedDependencyException. Message: Error creating bean with name 'securityConfig': Unsatisf
浏览 1提问于2019-10-15得票数 15
我研究了各种OAuth2 java库(spring-security-oauth、cxf、scribe、google-oauth-java-client)，但没有找到任何支持Mac令牌类型的东西，如下所示：
默认情况下，它们都支持不记名token类型，不支持其他类型。有没有什么特殊的原因导致这种令牌类型根本不受支持？
浏览 3提问于2012-07-13得票数 6
1回答
我正在尝试的GWTP应用程序。像JSESSION这样的问题在中很容易获得，如果用户已经登录并且同时通过paroz提出了相同的服务器请求，就可以使用这些工具。它使用更新的值执行相同的事务，这是一个安全问题。
要阻止这种情况，需要为每个请求创建新的cookie并从客户端发送到服务器。
@SecurityCookie
public static final String securityCookieName = getRandomString(); //Not work
对于ClientModule
public class ClientModule extends AbstractPresente
浏览 3提问于2012-08-15得票数 2
回答已采纳
互联网上的大多数教程都是在Spring中使用React，因此它将是服务器端呈现，就像胸腺网一样。但是在我的项目中，spring (REST后端)和ReactJS (SPA)是分开的。
我有一个单块的应用程序，所以我想我不必使用JWT (而且spring oauth2授权项目是不推荐的)。
是否可以在SPA (如react )中使用Security身份验证(Jsessionid)？
如何登录，它的端点是什么？这仅仅是对用户名和密码的有效负载的/login端点的POST请求吗?对于另一个端点，当对/login启动进行REST调用时，React只需要包含Jsessionid的cookie就可以是了吗
浏览 4提问于2021-05-21得票数 2
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
