Spring OAuth2 认证流程

AcmenSan

于 2025-05-14 09:28:03 发布

阅读量1.6k

点赞数 44

CC 4.0 BY-SA版权

文章标签： spring java 后端

本文链接：https://blog.youkuaiyun.com/Program_san/article/details/147942814

1. OAuth2基础架构概述

在微服务架构中集成spring-boot-starter-oauth2-authorization-server后，整个系统会形成三个核心角色：认证服务器提供认证和授权服务，颁发令牌；资源服务器保护API资源，验证令牌有效性；客户端则是请求访问受保护资源的应用程序。

认证服务器和资源服务器的角色相对明确，而客户端的选择和设计则较为复杂，需要根据实际业务场景进行选择。本文将重点探讨在微服务架构下，如何选择和设计适合的客户端实现方式。

2. 微服务架构下的客户端选择

2.1 网关作为客户端

当网关作为OAuth2客户端时，它代表最终用户完成整个认证流程，获取并管理访问令牌。这种模式适用于传统的多页面Web应用，以及需要集中管理会话和认证状态的场景。

网关客户端的配置示例：

spring:
  security:
    oauth2:
      client:
        registration:
          gateway-client:
            client-id:gateway-client
            client-secret:gateway-secret
            authorization-grant-type:authorization_code
            redirect-uri:"{baseUrl}/login/oauth2/code/gateway-client"
            scope:openid,profile,api.read

网关作为客户端的优势在于集中式会话管理和简化内部服务认证，对终端用户也是透明的。但缺点是最终用户无法直接访问令牌，所有请求必须经过网关，且难以支持单页应用和移动应用的场景。

2.2 前端应用作为客户端

在现代Web开发中，前端应用（特别是单页应用）可以直接作为OAuth2客户端。前端应用通常使用授权码流程加PKCE来获取令牌，这种方式更适合单页应用和移动应用。

前端实现授权码流程的示例代码：

// 生成PKCE参数
const codeVerifier = generateRandomString(128);
const codeChallenge = base64UrlEncode(sha256(codeVerifier));

// 存储PKCE参数
localStorage.setItem('code_verifier', codeVerifier);

// 发起授权请求
window.location.href = `${authServerUrl}/oauth2/authorize?`+
`response_type=code&`+
`client_id=frontend-client&`+
`redirect_uri=${encodeURIComponent('http://frontend-app/callback')}&`+
`scope=openid profile api.read&`+
`code_challenge=${codeChallenge}&`+
`code_challenge_method=S256`;

前端作为客户端可以直接管理令牌，适合现代前端架构，用户体验更佳。但实现复杂度较高，需要考虑令牌的安全存储，且需要额外实现刷新令牌的逻辑。

2.3 第三方系统作为客户端

第三方系统集成是OAuth2的常见场景，根据不同需求可以选择不同的授权模式：

对于系统间调用，通常使用客户端凭证模式：

curl -X POST ${authServerUrl}/oauth2/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -H "Authorization: Basic $(echo -n 'third-party-client:secret' | base64)" \
  -d "grant_type=client_credentials&scope=api.read"

对于需要用户授权的场景，则使用授权码模式。第三方系统需要在其回调端点处理授权码换取令牌的逻辑。

3. 多客户端混合架构设计

实际项目中，通常需要同时支持多种客户端类型。认证服务器可以配置多个客户端以支持不同场景：

@Bean
public RegisteredClientRepository registeredClientRepository(JdbcTemplate jdbcTemplate, 
                                                          PasswordEncoder passwordEncoder) {
    // 网关客户端配置
    RegisteredClient gatewayClient = RegisteredClient.withId(UUID.randomUUID().toString())
        .clientId("gateway-client")
        .clientSecret(passwordEncoder.encode("gateway-secret"))
        .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
        .authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN)
        .redirectUri("http://gateway-server/login/oauth2/code/gateway-client")
        .scope(OidcScopes.OPENID)
        .scope("api.read")
        .clientSettings(ClientSettings.builder()
            .requireAuthorizationConsent(true)
            .build())
        .build();
    
    // 前端SPA客户端配置
    RegisteredClient frontendClient = RegisteredClient.withId(UUID.randomUUID().toString())
        .clientId("frontend-client")
        .clientAuthenticationMethod(ClientAuthenticationMethod.NONE)
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
        .authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN)
        .redirectUri("http://frontend-app/callback")
        .scope(OidcScopes.OPENID)
        .scope("api.read")
        .clientSettings(ClientSettings.builder()
            .requireProofKey(true) // 启用PKCE
            .requireAuthorizationConsent(true)
            .build())
        .build();
    
    // 第三方系统客户端配置
    RegisteredClient thirdPartyClient = RegisteredClient.withId(UUID.randomUUID().toString())
        .clientId("third-party-client")
        .clientSecret(passwordEncoder.encode("third-party-secret"))
        .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
        .authorizationGrantType(AuthorizationGrantType.CLIENT_CREDENTIALS)
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
        .redirectUri("http://third-party-app/callback")
        .scope("api.read")
        .scope("api.write")
        .clientSettings(ClientSettings.builder()
            .requireAuthorizationConsent(true)
            .build())
        .build();
    
    // 保存客户端配置
    JdbcRegisteredClientRepository repository = new JdbcRegisteredClientRepository(jdbcTemplate);
    return repository;
}