如何在SpringBoot Security中实现OAuth2授权

OAuth2已经成为了一个授权的标准协议，大家在很多的产品中都能看到它的身影，比如我们登录一个网站，支持微信,QQ等登录方式，这里QQ和微信提供了授权服务。有很多的授权组件都能提供这种OAuth2认证方式，比如keycloak等，但我们也可以在SpringBoot security中实现OAuth2授权，这篇文章将详细讲解每一个步骤来演示如何在SpringBoot中实现OAuth2授权。

OAuth 2 简介

OAuth 2 是一种授权协议，用于通过 HTTP 协议提供对受保护资源的访问。OAuth2 使第三方应用程序能够获得对资源的有限访问。资源的所有者告诉系统，同意授权第三方应用进入系统，获取对这些资源访问。系统从而产生一个短期的进入令牌（token），用来代替密码，供第三方应用使用。
由于授权的场景众多，OAuth 2.0 协议定义了获取令牌的四种授权方式，分别是：

授权码模式：授权码模式（authorization code）是功能最完整、流程最严密的授权模式。它的特点就是通过客户端的后台服务器，与"服务提供商"的认证服务器进行互动。
简化模式：简化模式（implicit grant type）不通过第三方应用程序的服务器，直接在浏览器中向认证服务器申请令牌，跳过了"授权码"这个步骤，因此得名。所有步骤在浏览器中完成，令牌对访问者是可见的，且客户端不需要认证。
密码模式：密码模式（Resource Owner Password Credentials Grant）中，用户向客户端提供自己的用户名和密码。客户端使用这些信息，向"服务商提供商"索要授权。
客户端模式：客户端模式（Client Credentials Grant）指客户端以自己的名义，而不是以用户的名义，向"服务提供商"进行认证。严格地说，客户端模式并不属于OAuth框架所要解决的问题。在这种模式中，用户直接向客户端注册，客户端以自己的名义要求"服务提供商"提供服务，其实不存在授权问题。

四种授权模式分别使用不同的 grant_type 来区分

角色

OAuth 定义了四个角色

资源所有者——应用程序的用户。
客户端 – 第三方应用程序，需要访问资源服务器上的用户数据的应用程序。
资源服务器 - 存储用户数据和资源服务，这些服务可以将用户数据返回给经过身份验证的客户端。
授权服务器——负责验证用户身份并提供授权令牌。此令牌被资源服务器接受并验证你的身份。

image.png

访问令牌（access_token)与刷新令牌(refresh_token)

访问令牌是一个字符串，表示颁发给客户端的授权。令牌代表特定的访问范围和持续时间，由资源所有者授予，并由资源服务器和授权服务器强制执行。
刷新令牌（与访问令牌一起）由授权服务器颁发给客户端，用于在当前访问令牌失效或过期时获取新的访问令牌。刷新令牌还用于获取具有相同或更窄范围的其他访问令牌（访问令牌可能具有比资源所有者授权的更短的生命周期和更少的权限）。颁发刷新令牌是可选的，由授权服务器决定。

访问令牌的职责是在数据过期之前访问数据。
刷新令牌的职责是在现有访问令牌过期时请求新的访问令牌。

OAuth2-创建授权服务器

pom文件



    4.0.0
    
        com.springexamples.demo
        SpringExamples
        0.0.1-SNAPSHOT
    
    com.howtodoinjava
    oauth2
    oauth2
    Demo project for Spring Boot

    
        1.8
    

    
        
            org.springframework.security.oauth.boot
            spring-security-oauth2-autoconfigure
            2.1.8.RELEASE
        
        
            org.springframework.boot
            spring-boot-starter-web
        
        
            org.springframework.boot
            spring-boot-starter-test
            test
        
        
            org.springframework.security
            spring-security-test
            test

要使用 spring security oauth2 模块创建授权服务器，我们需要使用注解@EnableAuthorizationServer 并扩展类 AuthorizationServerConfigurerAdapter。

@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServer extends AuthorizationServerConfigurerAdapter {
    @Autowired
    private BCryptPasswordEncoder passwordEncoder;

    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security
            .tokenKeyAccess("permitAll()")
            .checkTokenAccess("isAuthenticated()")
            .allowFormAuthenticationForClients();
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients
            .inMemory()
            .withClient("clientapp")
            .secret(passwordEncoder.encode("123456"))
            .authorizedGrantTypes("password", "authorization_code", "refresh_token")
            .authorities("READ_ONLY_CLIENT")
            .scopes("read_profile_info")
            .resourceIds("oauth2-resource")
            .redirectUris("http://localhost:8081/login")
            .accessTokenValiditySeconds(5000)
            .refreshTokenValiditySeconds(50000);
    }
}

Spring security oauth 公开了两个用于检查令牌的端点（/oauth/check_token 和 /oauth/token_key），默认它们在 denyAll() 之后受保护。 tokenKeyAccess() 和 checkTokenAccess() 方法打开这些端点以供使用。
ClientDetailsServiceConfigurer 用于定义客户端详细信息,可以基于内存或 JDBC 实现。为了演示的简单，例子中使用内存实现。它具有以下重要属性：
clientId –（必需）客户端 ID。
secret(密钥) -（受信任的客户端需要）客户端密钥，如果有的话。
scope – 客户端受限的范围。如果范围未定义或为空（默认），则客户端不受范围限制。
authorizedGrantTypes – 授权客户端使用的授权类型。默认值为空。
权限 - 授予客户端的权限（常规 Spring Security 权限）。
redirectUris – 将用户代理重定向到客户端的重定向url。它必须是绝对 URL。

OAuth2-创建资源服务器

要创建资源服务器组件，需要使用 @EnableResourceServer 注释并扩展 ResourceServerConfigurerAdapter 类。

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;

@Configuration
@EnableResourceServer
public class OAuth2ResourceServer extends ResourceServerConfigurerAdapter {
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/").permitAll()
            .antMatchers("/api/v1/**").authenticated();
    }
}

上面的配置在 /api 开始的所有端点上启用保护。所有其他端点都可以自由访问。
资源服务器还提供了一种机制来验证用户本身。在大多数情况下，它将是基于表单的登录。

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.core.annotation.Order;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

@Configuration
@Order(1)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/api/**").authenticated()
                .antMatchers("/**").permitAll().and().formLogin();
    }
 
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
            .withUser("jack")
            .password(passwordEncoder().encode("123456"))
            .roles("USER");
    }
     
    @Bean
    public BCryptPasswordEncoder passwordEncoder(){ 
        return new BCryptPasswordEncoder(); 
    }
}

上面的 WebSecurityConfigurerAdapter 类设置了一个基于表单的登录页面，并使用 permitAll() 打开授权 URL。

Oauth2保护Rest资源

为了简化的目的，仅提供了一个简单的获取用户profile的服务，如下：

import org.springframework.http.ResponseEntity;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.core.userdetails.User;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.RequestMapping;

@Controller
public class RestResource {
    @RequestMapping("/api/users/me")
    public ResponseEntity profile() 
    {
        //Build some dummy data to return for testing
        User user = (User) SecurityContextHolder.getContext().getAuthentication().getPrincipal();
        String email = user.getUsername() + "@hotmail.com";

        UserProfile profile = new UserProfile();
        profile.setName(user.getUsername());
        profile.setEmail(email);

        return ResponseEntity.ok(profile);
    }
}

public class UserProfile {
    private String name;
    private String email;

    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }

    public String getEmail() {
        return email;
    }

    public void setEmail(String email) {
        this.email = email;
    }

    @Override
    public String toString() {
        return "UserProfile [name=" + name + ", email=" + email + "]";
    }
}

授权过程

浏览器访问

我们在浏览器中访问 http://localhost:8080/api/users/me，会跳转到SpringBoot security提供的登录页面，输入用户名jack,密码123456就可以访问该api，但作为第三方应用程序，没有用户名和密码，只能通过OAuth2令牌来访问

第三方应用访问

第一步，获取用户授权码

如上面的流程图所示，第一步是从 URL 获取资源所有者的授权，如下的url

http://localhost:8080/oauth/authorize?client_id=clientapp&response_type=code&scope=read_profile_info

它将跳转到Springboot security提供的login页面，用户提供用户名和密码，我们的例子中提供用户名jack，密码123456

image.png

登录成功后，它将跳转到授权访问页，如下：

image.png

用户同意或者拒绝对第三方应用的授权，同意后它将跳转到http://localhost:8081/login?code=CUuyz2,其中http://localhost:8081/login是在代码的redirectUris中提供，这个网址可以不存在，第三方应用需要在代码中截取code部分来获取授权码，本例中是CUuyz2

第二步，从授权服务器中获取access token

上一步获取到了授权码，下一步第三方应用程序将使用授权码来获取访问令牌。可以使用curl命令来获取access token。

curl -X POST "http://localhost:8080/oauth/token" -H "accept: application/json" -H "Content-Type: application/x-www-form-urlencoded" -H "authorization: Basic Y2xpZW50YXBwOjEyMzQ1Ng==" -d "grant_type=authorization_code&code=CUuyz2&redirect_uri=http://localhost:8081/login"

authorization中需要使用basic认证，提供用户名clientapp，密码123456，可以使用下面的网站来获取加密后的字符串

https://www.blitter.se/utils/basic-authentication-header-generator/

授权服务将返回如下的信息,包括access_token，refresh_token和token_type等。

{"access_token":"cca36355-be99-4e13-a9db-db31fac8c28c","token_type":"bearer","refresh_token":"3b472d86-e371-422a-b0a7-fe23a7c7e8c8","expires_in":4999,"scope":"read_profile_info"}

第三步，从资源服务器访问API

获得访问令牌后，我们可以前往资源服务器获取受保护的API.使用curl命令来访问API,authorization是上一步获取到的access_token。

curl -X GET http://localhost:8080/api/users/me 
     -H "authorization: Bearer cca36355-be99-4e13-a9db-db31fac8c28c"

获取信息如下：

{"name":"jack","email":"[email protected]"}