SpringSecurity Oauth2 - 密码模式完成身份认证获取令牌 [自定义UserDetailsService]

2024-09-02 02:20
文章标签 java 模式 自定义 认证 spring 完成 密码 获取 令牌 springsecurity 身份 oauth2 userdetailsservice

本文主要是介绍SpringSecurity Oauth2 - 密码模式完成身份认证获取令牌 [自定义UserDetailsService]，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

文章目录

    • 1. 授权服务器
    • 2. 授权类型
      • 1. Password (密码模式)
      • 2. Refresh Token（刷新令牌）
      • 3. Client Credentials（客户端凭证模式）
    • 3. AuthorizationServerConfigurerAdapter
    • 4. 自定义 TokenStore 管理令牌
      • 1. TokenStore 的作用
      • 2. CustomAuthenticationKeyGenerator
      • 3. CustomRedisTokenStore
      • 4. TokenStoreAutoConfiguration
    • 5. 自定义 UserDetailsService 获取认证用户信息
      • 1. UserDetailsService 的作用
      • 2. CustomUserDetailService
      • 3. 密码加密配置类 PasswordEncodeConfig
      • 4. 配置 CustomUserDetailService
    • 6. 配置授权服务器
    • 7. 启动项目测试获取访问令牌

在这里插入图片描述

1. 授权服务器

Spring Security OAuth2 授权服务器的作用是为各种客户端应用（如Web应用、移动应用、微服务等）提供一个集中式的身份认证和授权服务。授权服务器的主要功能是颁发、管理和验证访问令牌（Access Token）和刷新令牌（Refresh Token），从而确保只有经过授权的客户端才能访问受保护的资源。

1.管理客户端应用

授权服务器允许你注册和管理不同的客户端应用程序（例如，Web应用、移动应用、API客户端）。对于每个客户端应用，授权服务器会为其分配一个唯一的客户端ID（Client ID）和客户端密钥（Client Secret），并定义其授权范围和访问权限。

2. 颁发访问令牌

授权服务器的核心功能之一是颁发访问令牌。当客户端应用请求访问受保护的资源时，它需要先向授权服务器请求一个访问令牌。授权服务器会根据预定义的授权流程（如授权码模式、密码模式等）验证客户端的身份和权限，然后颁发一个访问令牌给客户端。客户端可以使用这个访问令牌来访问资源服务器上的受保护资源。

3. 支持多种授权模式

① 密码模式：适用于用户信任的应用，如移动应用，直接使用用户名和密码获取访问令牌。

② 客户端凭据模式：适用于服务之间的通信，不涉及用户，直接使用客户端凭据获取访问令牌。

③ 刷新令牌：在访问令牌过期时，客户端可以使用刷新令牌获取新的访问令牌，避免用户重复登录。

4. 验证访问令牌

授权服务器不仅颁发访问令牌，还负责验证访问令牌的有效性。资源服务器在收到客户端请求时，可以通过调用授权服务器的令牌检查接口（如 /oauth/check_token）来验证访问令牌的合法性和有效期，从而确保请求者的身份和权限。

5. 管理用户身份和权限

授权服务器与用户身份管理系统（如用户数据库、LDAP等）集成，负责用户的认证和权限管理。当客户端应用请求访问令牌时，授权服务器会验证用户的身份，并根据用户的角色或权限，决定是否颁发访问令牌以及授予哪些权限。

2. 授权类型

OAuth2 授权框架提供了多种授权类型，允许客户端以不同的方式获取访问令牌。每种授权类型都有不同的使用场景和适用条件。

1. Password (密码模式)

密码模式适用于在信任的应用程序中直接向 OAuth2 授权服务器提供用户的用户名和密码。这种模式适用于移动应用或服务器端应用直接与授权服务器交互的场景。用户直接将用户名和密码提供给客户端，客户端使用这些凭据向授权服务器请求访问令牌。

使用步骤：

① 用户提供用户名和密码： 用户将其用户名和密码输入到客户端应用中。

② 客户端请求访问令牌： 客户端使用用户名、密码、客户端ID和客户端密钥向授权服务器请求访问令牌。

POST /oauth/token HTTP/1.1
Host: authorization-server.com
Authorization: Basic Base64(client_id:client_secret)
Content-Type: application/x-www-form-urlencodedgrant_type=password&username=user&password=pass&scope=read

③ 服务器返回访问令牌： 授权服务器验证凭据后，返回访问令牌。

{"access_token": "abcdefg12345","token_type": "bearer","expires_in": 3600,"refresh_token": "refresh12345"
}

2. Refresh Token（刷新令牌）

刷新令牌用于获取新的访问令牌，而无需用户重新进行认证。这种模式通常与其他授权模式结合使用，例如密码模式或授权码模式。当访问令牌过期后，需要获取新的访问令牌时使用刷新令牌。适用于需要长期保持用户会话的应用，例如 Web 应用或移动应用。

使用步骤：

① 客户端使用刷新令牌请求新访问令牌： 当访问令牌过期时，客户端使用刷新令牌向授权服务器请求新的访问令牌。

POST /oauth/token HTTP/1.1
Host: authorization-server.com
Authorization: Basic Base64(client_id:client_secret)
Content-Type: application/x-www-form-urlencodedgrant_type=refresh_token&refresh_token=refresh12345

② 服务器返回新的访问令牌： 授权服务器验证刷新令牌后，返回新的访问令牌。

{"access_token": "newabcdefg12345","token_type": "bearer","expires_in": 3600,"refresh_token": "newrefresh12345"
}

3. Client Credentials（客户端凭证模式）

客户端凭证模式不涉及用户，客户端自身以其身份请求访问令牌。这种模式常用于服务端与服务端之间的通信，例如 API 网关与微服务之间的通信。适用于应用之间的服务调用，通常在后台系统中使用。用于访问与用户无关的资源，或使用应用本身的权限访问资源。

使用步骤：

① 客户端请求访问令牌： 客户端使用自己的客户端ID和客户端密钥向授权服务器请求访问令牌。

bash复制代码POST /oauth/token HTTP/1.1
Host: authorization-server.com
Authorization: Basic Base64(client_id:client_secret)
Content-Type: application/x-www-form-urlencodedgrant_type=client_credentials&scope=read

② 服务器返回访问令牌： 授权服务器验证客户端凭证后，返回访问令牌。

{"access_token": "clienttoken12345","token_type": "bearer","expires_in": 3600
}

3. AuthorizationServerConfigurerAdapter

public class AuthorizationServerConfigurerAdapter implements AuthorizationServerConfigurer {@Overridepublic void configure(AuthorizationServerSecurityConfigurer security) throws Exception {}@Overridepublic void configure(ClientDetailsServiceConfigurer clients) throws Exception {}@Overridepublic void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {}}

1. configure(AuthorizationServerSecurityConfigurer security)

用于配置授权服务器的安全性，如 /oauth/token、/oauth/authorize 等端点的安全性配置:

@Override
public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {// 允许客户端表单身份验证security.allowFormAuthenticationForClients()// 允许所有人访问令牌验证端点.checkTokenAccess("permitAll()")// 仅允许认证后的用户访问密钥端点.tokenKeyAccess("isAuthenticated()");
}

2. configure(ClientDetailsServiceConfigurer clients) 方法

用于配置客户端详细信息服务，这个服务用来定义哪些客户端可以访问授权服务器以及客户端的配置信息。

@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {// 将客户端信息存储在内存中clients.inMemory()// 定义客户端 ID.withClient("client-id")// 定义客户端密钥.secret(passwordEncoder.encode("client-secret"))// 定义客户端支持的授权模式.authorizedGrantTypes("authorization_code", "password", "refresh_token", "client_credentials")// 定义客户端的作用范围.scopes("read", "write")// 设置访问令牌的有效期.accessTokenValiditySeconds(3600)// 设置刷新令牌的有效期.refreshTokenValiditySeconds(7200);
}

3. configure(AuthorizationServerEndpointsConfigurer endpoints) 方法

用于配置授权和令牌的端点，以及令牌服务、令牌存储、用户认证等相关配置。

@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {// 配置用于密码模式的 `AuthenticationManager`endpoints.authenticationManager(authenticationManager)// 在刷新令牌时使用此服务加载用户信息.userDetailsService(userDetailsService)// 配置令牌的存储策略，例如内存、数据库或 Redis.tokenStore(new InMemoryTokenStore());
}

4. 自定义 TokenStore 管理令牌

1. TokenStore 的作用

TokenStore 是 Spring Security OAuth2 中用于管理 OAuth2 令牌（Access Token 和 Refresh Token）的接口。它的主要作用是定义如何生成、存储、读取和删除令牌。TokenStore 的具体实现类决定了令牌的存储方式，例如存储在内存中、数据库中、Redis 中，或以 JWT 的形式进行编码。TokenStore 的主要作用：

① 生成和存储令牌：当客户端请求令牌时，TokenStore 负责生成访问令牌和刷新令牌，并将它们存储在指定的存储介质中（如内存、数据库、Redis 等）。

② 读取令牌：TokenStore 允许根据令牌的值查找和读取存储的令牌。这个功能在资源服务器或授权服务器验证令牌时非常重要。

③ 删除令牌：TokenStore 也提供了删除令牌的方法，例如在用户注销或令牌过期时，授权服务器可以删除对应的访问令牌和刷新令牌。

④ 管理令牌的生命周期：TokenStore 负责管理令牌的生命周期，包括过期时间、刷新操作等。它可以确保访问令牌和刷新令牌在其有效期内使用，并在适当的时候自动过期。

当客户端请求令牌时，授权服务器通过 TokenStore 生成并存储令牌。客户端在后续请求中携带令牌访问受保护的资源时，资源服务器通过 TokenStore 验证令牌的有效性。TokenStore 管理整个令牌生命周期，包括生成、存储、读取、刷新和删除等操作。

@Bean
public TokenStore tokenStore(RedisConnectionFactory redisConnectionFactory) {return new RedisTokenStore(redisConnectionFactory);
}

2. CustomAuthenticationKeyGenerator

在 OAuth2 的认证过程中，DefaultAuthenticationKeyGenerator 通常用于生成唯一的认证键（AuthenticationKey），该键用于标识客户端的认证请求。默认情况下，DefaultAuthenticationKeyGenerator 会基于客户端的 ID、授权类型、作用域等信息生成一个哈希值，作为认证请求的唯一标识。

CustomAuthenticationKeyGenerator 类通过在原有的键生成逻辑上添加一个随机值 UUID.randomUUID().toString() 来确保每次调用时生成的键都是唯一的，即使所有其他参数都相同。这种方法增加了键的随机性，避免了重复的认证请求生成相同的键。

public class CustomAuthenticationKeyGenerator extends DefaultAuthenticationKeyGenerator {private static final String RAND = "keyGeneratorRand";@Overrideprotected String generateKey(Map<String, String> values) {// 加入一个随机的要素,保证每次调用时生成的们的hash都不一样values.put(RAND, UUID.randomUUID().toString());return super.generateKey(values);}
}

3. CustomRedisTokenStore

CustomRedisTokenStore 是一个自定义的令牌存储类，继承自 RedisTokenStore。RedisTokenStore 是 Spring Security OAuth2 提供的一个实现，用于将 OAuth2 的访问令牌和刷新令牌存储在 Redis 中。

/*** 自定义的RedisTokenStore处理*/
public class CustomRedisTokenStore extends RedisTokenStore {public CustomRedisTokenStore(RedisConnectionFactory connectionFactory) {super(connectionFactory);}// 从 Redis 中读取并返回对应的访问令牌@Overridepublic OAuth2AccessToken readAccessToken(String tokenValue) {return super.readAccessToken(tokenValue);}// 从 Redis 中移除指定的访问令牌@Overridepublic void removeAccessToken(OAuth2AccessToken accessToken) {super.removeAccessToken(accessToken);}// 使用刷新令牌来删除关联的访问令牌@Overridepublic void removeAccessTokenUsingRefreshToken(OAuth2RefreshToken refreshToken) {super.removeAccessTokenUsingRefreshToken(refreshToken);}
}

4. TokenStoreAutoConfiguration

@Configuration
public class TokenStoreAutoConfiguration {@Autowiredprivate RedisConnectionFactory connectionFactory;@Beanpublic TokenStore tokenStore() {// 使用redis存储tokenRedisTokenStore redisTokenStore = new CustomRedisTokenStore(connectionFactory);redisTokenStore.setAuthenticationKeyGenerator(new CustomAuthenticationKeyGenerator());return redisTokenStore;}
}

5. 自定义 UserDetailsService 获取认证用户信息

1. UserDetailsService 的作用

UserDetailsService 是 Spring Security 中的一个核心接口，用于根据用户名获取用户的详细信息。这个接口通常用于处理用户身份验证过程中的用户查找逻辑。具体来说，当用户试图登录应用程序时，Spring Security 会使用 UserDetailsService 来加载用户信息（包括用户名、密码、权限等），以便进行身份验证。

UserDetails loadUserByUsername(String username) throws UsernameNotFoundException;

UserDetails 是 UserDetailsService 返回的核心对象，包含了用户的详细信息：

public interface UserDetails extends Serializable {// 返回用户的权限（角色）集合Collection<? extends GrantedAuthority> getAuthorities();// 返回用户的密码（通常是加密后的）String getPassword();// 返回用户的用户名String getUsername();// 指示账户是否未过期，未过期的账户可使用。boolean isAccountNonExpired();// 指示账户是否未锁定，未锁定的账户可使用。boolean isAccountNonLocked();// 指示用户的凭据是否未过期，未过期的凭据可使用。boolean isCredentialsNonExpired();// 指示用户是否已启用，已启用的用户可使用。boolean isEnabled();
}

2. CustomUserDetailService

@Service
public class CustomUserDetailService implements UserDetailsService {@Autowiredprivate UserDao userDao;@Autowiredprivate PolicyDao policyDao;@Autowiredprivate RoleDao roleDao;@Overridepublic UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {// 从数据库中查找用户UserEntity userEntity = userDao.queryUserByUserName(username);if (userEntity == null) {throw new UsernameNotFoundException("User not found with username: " + username);}// 根据用户信息查询角色信息List<RoleEntity> roleEntities = roleDao.queryRolesByUserId(userEntity.getId());List<String> roleIds = roleEntities.stream().map(RoleEntity::getId).collect(Collectors.toList());// 根据角色信息查询权限信息List<PolicyEntity> policyEntities = policyDao.queryPolicyByRoleId(roleIds);// 查询权限名称List<String> policyNames = policyEntities.stream().map(PolicyEntity::getName).collect(Collectors.toList());// 构造认证用户权限信息List<SimpleGrantedAuthority> grantedAuthorities= policyNames.stream().map(policyName -> new SimpleGrantedAuthority(policyName)).collect(Collectors.toList());// 将 UserEntity 转换为 UserDetails 对象UserDetails userDetails = User.builder().username(userEntity.getUsername()).password(userEntity.getPassword()).authorities(grantedAuthorities).accountExpired(false).accountLocked(false).disabled(false).build();return userDetails ;}
}

3. 密码加密配置类 PasswordEncodeConfig

@Configuration
public class PasswordEncodeConfig {@Beanpublic PasswordEncoder passwordEncoder() {return new BCryptPasswordEncoder();}
}

4. 配置 CustomUserDetailService

@Configuration
@EnableWebSecurity
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {@Autowiredprivate CustomUserDetailService userDetailsService;@Autowiredprivate PasswordEncoder passwordEncoder;@Overrideprotected void configure(AuthenticationManagerBuilder auth) throws Exception {auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder);}@Overrideprotected void configure(HttpSecurity http) throws Exception {super.configure(http);}@Bean@Overridepublic AuthenticationManager authenticationManagerBean() throws Exception {return super.authenticationManagerBean();}
}

6. 配置授权服务器

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {@Autowiredprivate AuthenticationManager authenticationManager;@Autowiredprivate UserDetailsService userDetailsService;@Autowiredprivate TokenStore tokenStore;@Autowiredprivate PasswordEncoder passwordEncoder;@Overridepublic void configure(AuthorizationServerSecurityConfigurer security) throws Exception {// 用于配置授权服务器的安全性，如 /oauth/token、/oauth/authorize 等端点的安全性配置。// 允许客户端表单身份验证security.allowFormAuthenticationForClients()// 允许所有人访问令牌验证端点.checkTokenAccess("permitAll()")// 仅允许认证后的用户访问密钥端点.tokenKeyAccess("isAuthenticated");}/*** 对于每个客户端应用，授权服务器会为其分配一个唯一的客户端ID和客户端密钥，并定义其授权范围和访问权限。*/@Overridepublic void configure(ClientDetailsServiceConfigurer clients) throws Exception {// 用于配置客户端详细信息服务，这个服务用来定义哪些客户端可以访问授权服务器以及客户端的配置信息。// 将客户端信息存储在内存中，适合开发和测试环境。clients.inMemory()// 定义客户端ID.withClient("client_id")// 定义客户端密钥.secret(passwordEncoder.encode("client_secret"))// 定义客户端支持的授权模式。.authorizedGrantTypes("password","refresh_token","client_credentials")// 设置访问令牌的有效期。.accessTokenValiditySeconds(3600)// 设置刷新令牌的有效期。.refreshTokenValiditySeconds(7200)// 定义客户端的作用范围。.scopes("all");}@Overridepublic void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {// 用于配置授权和令牌的端点，以及令牌服务、令牌存储、用户认证等相关配置。// 配置用于密码模式的 AuthenticationManager。endpoints.authenticationManager(authenticationManager)// 在刷新令牌时使用此服务加载用户信息。.userDetailsService(userDetailsService)// 配置令牌的存储策略，例如内存、数据库或 Redis。.tokenStore(tokenStore);}
}

7. 启动项目测试获取访问令牌

在这里插入图片描述

这篇关于SpringSecurity Oauth2 - 密码模式完成身份认证获取令牌 [自定义UserDetailsService]的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/1128724。

相关文章

Python获取中国节假日数据记录入JSON文件

Python获取中国节假日数据记录入JSON文件

《Python获取中国节假日数据记录入JSON文件》项目系统内置的日历应用为了提升用户体验,特别设置了在调休日期显示“休”的UI图标功能,那么问题是这些调休数据从哪里来呢？我尝试一种更为智能的方法：P... 目录节假日数据获取存入jsON文件节假日数据读取封装完整代码项目系统内置的日历应用为了提升用户体验，
阅读更多...
微信公众号脚本-获取热搜自动新建草稿并发布文章

微信公众号脚本-获取热搜自动新建草稿并发布文章

《微信公众号脚本-获取热搜自动新建草稿并发布文章》本来想写一个自动化发布微信公众号的小绿书的脚本,但是微信公众号官网没有小绿书的接口,那就写一个获取热搜微信普通文章的脚本吧,：本文主要介绍微信公众... 目录介绍思路前期准备环境要求获取接口token获取热搜获取热搜数据下载热搜图片给图片加上标题文字上传图片
阅读更多...
Java编译生成多个.class文件的原理和作用

Java编译生成多个.class文件的原理和作用

《Java编译生成多个.class文件的原理和作用》作为一名经验丰富的开发者,在Java项目中执行编译后,可能会发现一个.java源文件有时会产生多个.class文件,从技术实现层面详细剖析这一现象... 目录一、内部类机制与.class文件生成成员内部类（常规内部类）局部内部类（方法内部类）匿名内部类二、
阅读更多...
SpringBoot实现数据库读写分离的3种方法小结

SpringBoot实现数据库读写分离的3种方法小结

《SpringBoot实现数据库读写分离的3种方法小结》为了提高系统的读写性能和可用性,读写分离是一种经典的数据库架构模式,在SpringBoot应用中,有多种方式可以实现数据库读写分离,本文将介绍三... 目录一、数据库读写分离概述二、方案一：基于AbstractRoutingDataSource实现动态
阅读更多...
Linux系统配置NAT网络模式的详细步骤(附图文)

Linux系统配置NAT网络模式的详细步骤(附图文)

《Linux系统配置NAT网络模式的详细步骤(附图文)》本文详细指导如何在VMware环境下配置NAT网络模式,包括设置主机和虚拟机的IP地址、网关,以及针对Linux和Windows系统的具体步骤,... 目录一、配置NAT网络模式二、设置虚拟机交换机网关2.1 打开虚拟机2.2 管理员授权2.3 设置子
阅读更多...
Springboot @Autowired和@Resource的区别解析

Springboot @Autowired和@Resource的区别解析

《Springboot@Autowired和@Resource的区别解析》@Resource是JDK提供的注解,只是Spring在实现上提供了这个注解的功能支持,本文给大家介绍Springboot@... 目录【一】定义【1】@Autowired【2】@Resource【二】区别【1】包含的属性不同【2】@
阅读更多...
springboot循环依赖问题案例代码及解决办法

springboot循环依赖问题案例代码及解决办法

《springboot循环依赖问题案例代码及解决办法》在SpringBoot中,如果两个或多个Bean之间存在循环依赖（即BeanA依赖BeanB,而BeanB又依赖BeanA）,会导致Spring的... 目录1. 什么是循环依赖？2. 循环依赖的场景案例3. 解决循环依赖的常见方法方法 1：使用 @La
阅读更多...
Java枚举类实现Key-Value映射的多种实现方式

Java枚举类实现Key-Value映射的多种实现方式

《Java枚举类实现Key-Value映射的多种实现方式》在Java开发中,枚举(Enum)是一种特殊的类,本文将详细介绍Java枚举类实现key-value映射的多种方式,有需要的小伙伴可以根据需要... 目录前言一、基础实现方式1.1 为枚举添加属性和构造方法二、http://www.cppcns.co
阅读更多...
Elasticsearch 在 Java 中的使用教程

Elasticsearch 在 Java 中的使用教程

《Elasticsearch在Java中的使用教程》Elasticsearch是一个分布式搜索和分析引擎,基于ApacheLucene构建,能够实现实时数据的存储、搜索、和分析,它广泛应用于全文... 目录1. Elasticsearch 简介2. 环境准备2.1 安装 Elasticsearch2.2 J
阅读更多...
Java中的String.valueOf()和toString()方法区别小结

Java中的String.valueOf()和toString()方法区别小结

《Java中的String.valueOf()和toString()方法区别小结》字符串操作是开发者日常编程任务中不可或缺的一部分,转换为字符串是一种常见需求,其中最常见的就是String.value... 目录String.valueOf()方法方法定义方法实现使用示例使用场景toString()方法方法
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2