前言

摘要

OAuth2.0 授权框架允许第三方应用获取对 HTTP 服务的有限的访问权限，既可以以资源所有者名义在资源所有者和 HTTP 服务之间进行允许的交互，也可以允许第三方应用以自己的名义进行访问。本规范取代并淘汰 RFC 5849 中描述的 OAuth 1.0 协议。

原文链接：https://www.pubnub.com/guides/oauth/

什么是 OAuth？

OAuth（开放授权）是一种开放标准授权框架，允许第三方应用程序访问用户数据，而无需用户共享其登录凭据。它为用户提供了一种安全且标准化的方式，将其在一个网站上的资源的访问权限授予另一个网站或应用程序，而无需暴露其密码。

今天做了什么：

• 重构微服务项目中使用 spring-security-oauth2 搭建 OAuth2 认证服务和资源服务的代码，减少其他模块对此的耦合度。计划将 spring-security-oauth2 迁移到 spring-security-oauth2-authorization-server 上，即使用 OAuth2.1 授权和认证。Spring Authorization Server 相关文档，可以参考 https://blog.51cto.com/u_15268610/category2。
• 看 xuxiaowei-cloud master 分支源代码，整理 /login 登陆逻辑，参数：username、password、tenantId、clientId

登陆成功

今天做了什么：

• 微服务项目中认证服务器配置授权码模式，并测试通过
  • 扩展 RedisAuthorizationCodeServices ，支持设置过期时间。
    • 注意：OAuth2Authentication 无法从 json 反序列化，故无法使用 JSON 反序列化类，只能使用 JDK 反序列化类。
  • 扩展 BearerTokenExtractor，支持从 request 请求的 header 中读取 access_token
  • 配置 JWK token 使用时
    • 扩展 JwtAccessTokenConverter ，用于解析 jwks 接口返回的 json，相关说明参考 creating-the-jwk-set-endpoint
    • JwkDefinitionSource 类中获取 jwkSetUrls 时，不支持 url 中配置服务名称，即不支持负载均衡。故，重写该类以支持通过 RestTemplate （可以注入一个支持负载均衡的 RestTemplate） 解析 jwkSetUrls 返回的 json 类型的字符串；创建了一个支持负载均衡的 TokenStore。
• 运行 xuxiaowei-cloud 项目时
  • 提示 Rollup failed to resolve import "@vue/shared"，原因：这个错误是由于无法解析到 @vue/shared 这个包导致的。@vue/shared 是 Vue 内部使用的一个共享工具库。解决方案：将 @vue/shared 添加到项目的依赖中。

    npm install --save @vue/shared
    

  • Controller 的方法上添加注解判断是否有权限，例子： @PreAuthorize("hasAuthority('manage_user_authority') or #oauth2.hasScope('manage_user_authority')")
  • Principal 中的用户对象，即 UserDetails 对象不添加额外字段，只有 username，如果想获取用户信息，需要通过用户服务去查询。

关于 OAuth2 的参考资料：

今天做了什么：

• 我使用的 Idea 插件。
• springdoc-openapi v1.7.0 示例
• Spring Security OAuth Boot 2 Autoconfig 转换成 maven 项目，并添加示例

Idea

1、插件

Today I Learned. 今天分享内容：Spring Security 对 OAuth2 的支持

Today I Learned. 今天分享内容：Spring Security OAuth2 配置JWT、Github Actions配置代码扫描，另外，修改了 spring-security-oauth2-legacy 仓库，支持授权认证中心的多种配置方式（jdbc、内存、redis、jwt）、资源中心的多种配置方式（jwt、jdbc、redis、remote、jwk-set-uri）。

OAuth 2.0 基础知识

Spring Security 的发展过程

Spring Security 是一个功能强大且广泛使用的安全框架，为企业级应用程序提供了全面的安全性。Spring Security 最初是 Acegi Security 项目的一部分，于 2004 年发布，现在已经成为 Spring 生态系统的核心组件。 Spring Security 的发展过程可以分为三个阶段：

概述

在本文中，我们将创建一个授权服务器，为任何客户端生成 access_token。这称为 OAuth2 的 client_credentials 流程。它主要用于服务间通信。