认证中心(单点登陆）之SpringSecurity+OAuth2

原创已于 2022-08-30 16:54:04 修改 · 914 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#SpringSecurity #OAuth2 #认证中心 #单点登录

于 2022-08-25 19:16:21 首次发布

知识点及原理分析同时被 3 个专栏收录

59 篇文章

订阅专栏

用法

47 篇文章

订阅专栏

特性介绍

19 篇文章

订阅专栏

认证和授权的概念
认证解决“我是谁”问题
在这里插入图片描述
授权解决“我能作什么”的问题
Filter和FilterChain
任何Spring Web应用本质上只是一个Servlet,Security Filter在HTTP请求到达你的Controller之前过滤每一个传入的
Http请求。pring Security 实现认证和授权的地层机制
浏览器->Security Filter ->Tomcat ->检查用户是否认证->没有认证401/403 认证到DispatcherServlet->RestController、Controller
在这里插入图片描述
FilterChain

在这里插入图片描述

在这里插入图片描述
常见的内建过滤器

Http
熟悉Http的请求/响应结构
Filter和客户端交互（获取数据/返回数据）是通过请求/响应中的字段完成的
在这里插入图片描述

 */
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
//        http
//                .formLogin(Customizer.withDefaults())
//                .authorizeRequests(req -> req.antMatchers("/api/greeting")
//                        .authenticated());
        http.authorizeRequests()
                .anyRequest().authenticated() //任何请求都会进行认证
                .and()
                .formLogin() //启用内建的登陆界面
                .and()
                .httpBasic(); //使用Http Basic Auth认证
    }
}

密码进化史
明文-》哈希-》加盐-》自适应

SpringSecurity核心组件
SecurityContext :是用来存储当前认证的用户的详细信息
SecurityContextHolder : 是一个工具类，它提供了对安全上下文的访问。默认情况下,它使用一个ThreadLocal对象来存储安全上下文，这意味着它是线程安全的。
Authentication：存储了当前用户（与应用程序交互的主体）的详细信息，它是Spring认证体系的核心元素
Principal可以理解为用户的信息（比较简单的情况下，有可能是用户名）
Credentials 可以理解为密码
Authorites 可以理解为权限

UserDetailService和UserDetails
通常的场景下用户是具备一系列属性约束
在这里插入图片描述

JWT是什么

JWT是Json Web Token的缩写，基于RFC 7159标准定义，可以安全传输的小巧和包含的JSON对象，
使用数字签名的所以是可信任的和安全的，使用HMAC 算法进行加密火灾RSA算法加密

JWT的工作流程
在这里插入图片描述
访问令牌和刷新令牌
访问令牌：生命周期要短，一般在几分钟到几小时
刷新令牌：生命周期会长，应该在几到不超过一年
令牌i如何存放：理论上说，直接存放在store中最安全，但刷新浏览器会有重新登陆的行为，如果可以由服务器端直接设置在Cookie中也是比较安全的，都不适合的场景下建议加密后存在SessionStorage中