Spring Authorization Server 中实现基于 PKCE 的单页应用认证指南

荣宣廷

于 2025-06-08 09:15:08 发布

阅读量374

点赞数 3

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/gitblog_00380/article/details/148507980

Spring Authorization Server 中实现基于 PKCE 的单页应用认证指南

spring-authorization-server Spring Authorization Server 项目地址: https://gitcode.com/gh_mirrors/spr/spring-authorization-server

前言

在现代 Web 应用开发中，单页应用(SPA)因其流畅的用户体验而广受欢迎。然而，SPA 的安全认证一直是个挑战，特别是如何在不暴露客户端密钥的情况下安全地进行 OAuth2 认证。本文将详细介绍如何在 Spring Authorization Server 中配置支持 PKCE(Proof Key for Code Exchange)的单页应用认证方案。

PKCE 机制简介

PKCE(发音为"pixy")是 OAuth2 的一个扩展，专门为解决公共客户端(如移动应用和单页应用)的安全问题而设计。其核心思想是：

客户端在发起授权请求时生成一个随机字符串(code_verifier)
对该字符串进行变换(code_challenge)后发送给授权服务器
在获取令牌时提供原始字符串供服务器验证

这种机制可以有效防止授权码拦截攻击，特别适合无法安全存储客户端密钥的公共客户端场景。

配置步骤详解

1. 启用 CORS 支持

由于 SPA 通常与后端服务部署在不同的域下，必须配置跨域资源共享(CORS)：

@Bean
SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
    http
        .authorizeRequests(authorizeRequests ->
            authorizeRequests.anyRequest().authenticated()
        )
        .cors(cors -> cors.configurationSource(corsConfigurationSource()));
    return http.build();
}

@Bean
CorsConfigurationSource corsConfigurationSource() {
    CorsConfiguration configuration = new CorsConfiguration();
    configuration.setAllowedOrigins(Arrays.asList("http://localhost:4200"));
    configuration.setAllowedMethods(Arrays.asList("GET","POST"));
    UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
    source.registerCorsConfiguration("/**", configuration);
    return source;
}

关键点说明：

明确指定允许的源(如 Angular 开发服务器的 localhost:4200)
只开放必要的 HTTP 方法
配置应用到所有端点(/**)

2. 配置公共客户端

在 Spring Authorization Server 中配置支持 PKCE 的公共客户端：

spring:
  security:
    oauth2:
      authorization-server:
        registered-clients:
          - id: spa-client
            client-authentication-methods: none
            authorization-grant-types: authorization_code
            redirect-uris: http://localhost:4200
            scopes: openid,profile
            require-proof-key: true

重要安全考虑：

client-authentication-methods 必须设为 none 表示公共客户端
require-proof-key 强制要求 PKCE，防止降级攻击
仅授予必要的 scope(如 openid,profile)

3. 客户端认证流程

完整的 PKCE 授权码流程如下：

初始化请求：
- SPA 生成随机 code_verifier(43-128 字符)
- 计算 code_challenge(S256 转换)
- 重定向到授权端点，携带 challenge
用户认证：
- 如果用户未登录，跳转到登录页
- 认证后重定向回授权端点
用户授权：
- 显示请求的权限范围
- 用户同意后生成授权码
获取令牌：
- SPA 用授权码和原始 verifier 请求令牌端点
- 服务器验证 challenge 匹配后颁发令牌