Spring Boot 实战指南（四）：登录认证(OAuth、Cookie、Session、Token)、Spring Security上手

参考：
教程
登录认证简介
OAuth 2.0 的一个简单解释
OAuth 2.0 的四种方式
Cookie/Session
Session工作原理图
Token认证
JWT

一、登录认证方式

使用过或者开发过系统的朋友们都知道，任何一个系统都离不开 登录认证 这个东西，通常有以下几种 使用场景：

• 首次使用，需要进行账户注册；
• 注册完成后，需要提供用户名和密码完成登录；
• 短时间内再使用，通常不用再次输入用户名和密码；
• 连续长时间未使用，需要再次提供用户名和密码完成登录。

1.OAuth 认证

简单来说，OAuth 就是一种授权机制。数据的所有者告诉系统，同意授权第三方应用(比如微信登录、QQ登录、github登录等)进入系统，获取这些数据。系统从而产生一个短期的进入令牌(token)，用来代替密码，供第三方应用使用。

• 令牌(token)与密码：

（1）令牌是短期的，到期会自动失效，用户自己无法修改。密码一般长期有效，用户不修改，就不会发生变化。
（2）令牌可以被数据所有者撤销，会立即失效
（3）令牌有权限范围（scope）。密码一般是完整权限。

上面这些设计，保证了令牌既可以让第三方应用获得权限，同时又随时可控，不会危及系统安全。这就是 OAuth 2.0 的优点。

颁发令牌的四种方式

OAuth 2.0 规定了四种获得令牌的流程：

授权码（authorization-code）
隐藏式（implicit）
密码式（password）：
客户端凭证（client credentials）

不管哪一种授权方式，第三方应用申请令牌之前，都必须先到系统备案，说明自己的身份，然后会拿到两个身份识别码：客户端 ID（client ID）和客户端密钥（client secret）。这是为了防止令牌被滥用，没有备案过的第三方应用，是不会拿到令牌的。

• 第一种授权方式：授权码

所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。过程如下：

• 第二种方式：隐藏式

有些 Web 应用是纯前端应用，没有后端。由于没有授权码这个中间步骤，所以称为（授权码）“隐藏式”。过程如下：

这种方式把令牌直接传给前端，是 很不安全 的。因此，只能用于一些安全要求不高的场景，并且令牌的有效期必须非常短，通常就是会话期间（session）有效，浏览器关掉，令牌就失效了。

• 第三种方式：密码式

如果用户高度信任某个应用，用户可以把用户名和密码直接告诉该第三方应用。该应用就使用你的密码，申请令牌，这种方式称为"密码式"。过程如下：

第一步，系统要求用户提供第三方应用的用户名和密码。拿到以后，系统就直接向该第三方应用请求令牌。
https://oauth.b.com/token?
grant_type=password&	password表示"密码式"
username=USERNAME&	用户名
password=PASSWORD&	密码
client_id=CLIENT_ID	表明请求方身份

第二步，第三方应用验证身份通过后，直接给出令牌。注意，这时不需要跳转，而是把令牌放在 JSON 数据里面，作为 HTTP 回应，系统因此拿到令牌。

• 第四种方式：凭证式

这种方式适用于没有前端的命令行应用，即在命令行下请求令牌。这种方式给出的令牌，是针对第三方应用的，而不是针对用户的，即有可能多个用户共享同一个令牌。过程如下：

第一步，系统在命令行向第三方应用发出请求。
https://oauth.b.com/token?
grant_type=client_credentials&	client_credentials表示采用凭证式
client_id=CLIENT_ID&	表明请求方身份
client_secret=CLIENT_SECRE	表明请求方身份

使用令牌
curl -H "Authorization: Bearer ACCESS_TOKEN" "https://api.b.com"
ACCESS_TOKEN就是拿到的令牌

• 更新令牌：

第三方应用颁发令牌的时候，一次性颁发两个令牌，一个用于获取数据，另一个用于获取新的令牌（refresh token 字段）。令牌到期前，用户使用 refresh token 发一个请求，去更新令牌。

请求更新

https://b.com/oauth/token?
grant_type=refresh_token&	grant_type参数为refresh_token表示要求更新令牌
client_id=CLIENT_ID&
client_secret=CLIENT_SECRET&
refresh_token=REFRESH_TOKEN	用于更新令牌的令牌

第三方应用验证通过以后，就会颁发新的令牌。

2.Cookie/Session 认证

(1)Cookie

Cookie 功能 需要浏览器的支持 ，指的就是在客户端浏览器里面存储的一种数据，cookie 的保存时间，可以自己在程序中设置。

（1）客户端请求服务器，如果服务器需要记录该用户状态，就使用response向客户端浏览器颁发一个 Cookie。
（2）客户端浏览器把Cookie保存起来。
（3）当浏览器再请求该网站时，浏览器把请求的网址连同该 Cookie 一同提交给服务器。
（4）服务器检查该 Cookie，以此来辨认用户状态。服务器还可以根据需要修改 Cookie 的内容。

此外，类似的还有 local storage ，以 key-value 的形式存储在浏览器中，只要不删除，数据就会永久存储。

• 弊端：

需要浏览器的支持
不可跨域名性
一个站点在客户端存放的 COOKIE 不能超过3K

(2)Session

Cookie 保存在客户端浏览器中，而 Session 保存在服务器上。

• 弊端：

如果web服务器做了负载均衡，那么下一个操作请求到了另一台服务器的时候 session 会丢失。
过多的 Session 存储在服务器内存中，会对服务器造成压力。
Session依赖Cookie功能。

<