首页 > 其他分享> 文章详细

Spring Security OAuth2 Demo —— 客户端模式（ClientCredentials）

2019-12-14 23:55:00 阅读：241 来源： 互联网

标签：OAuth2 ClientCredentials Spring 模式 token 服务器授权 public 客户端

前情回顾

前几节分享了OAuth2的流程与其它三种授权模式，这几种授权模式复杂程度由大至小：授权码模式 > 隐式授权模式 > 密码模式 > 客户端模式

本文要讲的是最后一种也是最简单的模式：客户端模式

其中客户端模式的流程是：客户端使用授权服器给的标识与secret访问资源服务器获取token

本文目标

编写与说明密码模式的Spring Security Oauth2的demo实现，让未了解过相关知识的读者对客户端模式授权流程有个更直观的概念

以下分成授权服务器与资源服务器分别进行解释，只讲关键部分，详情见Github：https://github.com/hellxz/spring-security-oauth2-learn

搭建密码模式授权服务器

代码结构与之前两个模式相同，这里便不再进行说明

SecurityConfig配置

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().anyRequest().authenticated();
    }
}

基本的SpringSecurity的配置，开启Spring Security的Web安全功能，填了一个用户信息，所有资源必须经过授权才可以访问

AuthorizationConfig授权服务器配置

@Configuration
@EnableAuthorizationServer
public class AuthorizationConfig extends AuthorizationServerConfigurerAdapter {
    @Bean
    public PasswordEncoder passwordEncoder(){
        return new BCryptPasswordEncoder();
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        //@formatter:off
        clients.inMemory()
                .withClient("user-center")
                .secret(passwordEncoder().encode("12345"))
                .authorizedGrantTypes("client_credentials") //主要配置这里为client_credentials
                .scopes("all");
        //@formatter:on
    }

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security.allowFormAuthenticationForClients()
                .checkTokenAccess("isAuthenticated()");
    }
}

这里开启了授权服务器的功能，相对其它模式主要是authorizedGrantTypes这里设置的client_credentials，其余不变

application.properties配置sever.port=8080

搭建资源服务器

这里的关键就是ResourceConfig，配置比较简单与其它几个模式完全一致，模式的不同主要表现在授权服务器与客户端服务器上，资源服务器只做token的校验与给予资源

@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Bean
    public RemoteTokenServices remoteTokenServices(){
        final RemoteTokenServices remoteTokenServices = new RemoteTokenServices();
        remoteTokenServices.setCheckTokenEndpointUrl("http://localhost:8080/oauth/check_token");
        remoteTokenServices.setClientId("user-center");
        remoteTokenServices.setClientSecret("12345");
        return remoteTokenServices;
    }

    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources.stateless(true);
    }

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED);
        http.authorizeRequests().anyRequest().authenticated();
    }
}

ResourceController主要接收一个用户名，返回一个username与email的json串

application.properties设置server.port=8081

准备工作到这里就差不多了，开始测试

测试流程

这里客户端使用postman手动发送请求进行演示

POST访问/oauth/token端点，获取token

这里除了请求头使用client标识信息外，添加一个grant_type=client_credentials，只需要这两个参数就可以得到token

token返回值

{
    "access_token": "3efcb9db-2c15-42db-b3f0-3c535439c799",
    "token_type": "bearer",
    "expires_in": 43199,
    "scope": "all"
}

使用token调用资源，访问http://localhost:8081/user/hellxz001，注意使用token添加Bearer请求头

尾声

本文是OAuth2授权模式代码部分的最后一个，后续分别记录下JWT与Redis两种tokenStore方式

标签：OAuth2,ClientCredentials,Spring,模式,token,服务器,授权,public,客户端
来源： https://www.cnblogs.com/hellxz/p/12041588.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。