SpringSecurity中OAuth2.0的实现

最新推荐文章于 2025-04-21 06:30:00 发布
最新推荐文章于 2025-04-21 06:30:00 发布
阅读量1k 收藏 20
点赞数 17
分类专栏： Spring Security 文章标签： java 服务器 oauth
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/jy739761380/article/details/145919233
版权

一、OAuth2.0介绍

1.概念说明

https://oauth.net/2/

  先说OAuth，OAuth是Open Authorization的简写。
  OAuth协议为用户资源的授权提供了一个安全的、开放而又简易的标准。与以往的授权方式不同之处是OAuth的授权不会使第三方触及到用户的帐号信息（如用户名与密码），即第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权，因此OAuth是安全的。
  OAuth2.0是OAuth协议的延续版本，但不向前兼容(即完全废止了OAuth1.0)。

2.使用场景

  假设，A网站是一个打印照片的网站，B网站是一个存储照片的网站，二者原本毫无关联。如果一个用户想使用A网站打印自己存储在B网站的照片，那么A网站就需要使用B网站的照片资源才行。按照传统的思考模式，我们需要A网站具有登录B网站的用户名和密码才行，但是，现在有了OAuth2，只需要A网站获取到使用B网站照片资源的一个通行令牌即可！这个令牌无需具备操作B网站所有资源的权限，也无需永久有效，只要满足A网站打印照片需求即可。这么听来，是不是有点像单点登录？NONONO！千万不要混淆概念！单点登录是用户一次登录，自己可以操作其他关联的服务资源。OAuth2则是用户给一个系统授权，可以直接操作其他系统资源的一种方式。但SpringSecurity的OAuth2也是可以实现单点登录的！
  总结一句：SpringSecurity的OAuth2可以做服务之间资源共享，也可以实现单点登录！

3.OAuth2.0中四种授权方式

  为了说明四种模式先准备一张图
在这里插入图片描述

3.1授权码模式（authorization code）

在这里插入图片描述

流程
说明：【A服务客户端】需要用到【B服务资源服务】中的资源

  1. 【A服务客户端】将用户自动导航到【B服务认证服务】，这一步用户需要提供一个回调地址，以备【B服务认证服务】返回授权码使用。
  2. 用户点击授权按钮表示让【A服务客户端】使用【B服务资源服务】，这一步需要用户登录B服务，也就是说用户要事先具有B服务的使用权限。
  3. 【B服务认证服务】生成授权码，授权码将通过第一步提供的回调地址，返回给【A服务客户端】。
    注意这个授权码并非通行【B服务资源服务】的通行凭证。
  4. 【A服务认证服务】携带上一步得到的授权码向【B服务认证服务】发送请求，获取通行凭证token。
  5. 【B服务认证服务】给【A服务认证服务】返回令牌token和更新令牌refresh token。

使用场景授权码模式是OAuth2中最安全最完善的一种模式，应用场景最广泛，可以实现服务之间的调用，常见的微信，QQ等第三方登录也可采用这种方式实现。

3.2简化模式（implicit）

在这里插入图片描述

流程
说明：简化模式中没有【A服务认证服务】这一部分，全部有【A服务客户端】与B服务交互，整个过程不再有授权码，token直接暴露在浏览器。

  1. 【A服务客户端】将用户自动导航到【B服务认证服务】，这一步用户需要提供一个回调地址，以备【B服务认证服务】返回token使用，还会携带一个【A服务客户端】的状态标识state。
  2. 用户点击授权按钮表示让【A服务客户端】使用【B服务资源服务】，这一步需要用户登录B服务，也就是说用户要事先具有B服务的使用权限。
  3. 【B服务认证服务】生成通行令牌token，token将通过第一步提供的回调地址，返回给【A服务客户端】。

使用场景
适用于A服务没有服务器的情况。比如：纯手机小程序，JavaScript语言实现的网页插件等。

3.3密码模式（resource owner password credentials）

在这里插入图片描述

流程

  1. 直接告诉【A服务客户端】自己的【B服务认证服务】的用户名和密码
  2. 【A服务客户端】携带【B服务认证服务】的用户名和密码向【B服务认证服务】发起请求获取token。
  3. 【B服务认证服务】给【A服务客户端】颁发token。

使用场景
此种模式虽然简单，但是用户将B服务的用户名和密码暴露给了A服务，需要两个服务信任度非常高才能使用。

3.4客户端模式（client credentials）

在这里插入图片描述

流程
说明：这种模式其实已经不太属于OAuth2的范畴了。A服务完全脱离用户，以自己的身份去向B服务索取token。换言之，用户无需具备B服务的使用权也可以。完全是A服务与B服务内部的交互，与用户无关了。

  1. A服务向B服务索取token。
  2. B服务返回token给A服务。

使用场景
A服务本身需要B服务资源，与用户无关。

在这里插入图片描述

4.OAuth2.0中表结构说明

说明
  如果只是写个测试案例，完全可以不用连接数据库，直接将用户等信息写在项目中就行。
  但是，我们应该把眼光放在企业开发中。试想，我们自己做的一个软件，想使用微信第三方登录。难道你还指望微信去修改他们的代码，让我们去访问？想都别想！那么微信会怎么做呢？微信会提供好一个接入的入口，让我们自己去申请访问权限。这些数据自然而然需要保存在数据库中！所以，我们将直接讲解数据库版实现方式！
建表语句
官方SQL地址：
https://github.com/spring-projects/spring-security-oauth/blob/master/spring-securityoauth2/src/test/resources/schema.sql

/*
SQLyog Ultimate v12.08 (64 bit)
MySQL - 8.0.16 : Database - security_authority
*********************************************************************
*/


/*!40101 SET NAMES utf8 */;

/*!40101 SET SQL_MODE=''*/;

/*!40014 SET @OLD_UNIQUE_CHECKS=@@UNIQUE_CHECKS, UNIQUE_CHECKS=0 */;
/*!40101 SET @OLD_SQL_MODE=@@SQL_MODE, SQL_MODE='NO_AUTO_VALUE_ON_ZERO' */;
/*!40111 SET @OLD_SQL_NOTES=@@SQL_NOTES, SQL_NOTES=0 */;
/*Table structure for table `oauth_access_token` */

DROP TABLE IF EXISTS `oauth_access_token`;

CREATE TABLE `oauth_access_token` (
  `token_id` varchar(255) DEFAULT NULL,
  `token` longblob,
  `authentication_id` varchar(255) DEFAULT NULL,
  `user_name` varchar(255) DEFAULT NULL,
  `client_id` varchar(255) DEFAULT NULL,
  `authentication` longblob,
  `refresh_token` varchar(255) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

/*Data for the table `oauth_access_token` */

/*Table structure for table `oauth_approvals` */

DROP TABLE IF EXISTS `oauth_approvals`;

CREATE TABLE `oauth_approvals` (
  `userId` varchar(255) DEFAULT NULL,
  `clientId` varchar(255) DEFAULT NULL,
  `scope` varchar(255) DEFAULT NULL,
  `status` varchar(10) DEFAULT NULL,
  `expiresAt` datetime DEFAULT NULL,
  `lastModifiedAt` datetime DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

/*Data for the table `oauth_approvals` */

/*Table structure for table `oauth_client_details` */

DROP TABLE IF EXISTS `oauth_client_details`;

CREATE TABLE `oauth_client_details` (
  `client_id` varchar(255) NOT NULL,
  `resource_ids` varchar(255) DEFAULT NULL,
  `client_secret` varchar(255) DEFAULT NULL,
  `scope` varchar(255) DEFAULT NULL,
  `authorized_grant_types` varchar(255) DEFAULT NULL,
  `web_server_redirect_uri` varchar(255) DEFAULT NULL,
  `authorities` varchar(255) DEFAULT NULL,
  `access_token_validity` int(11) DEFAULT NULL,
  `refresh_token_validity` int(11) DEFAULT NULL,
  `additional_information` varchar(255) DEFAULT NULL,
  `autoapprove` varchar(255) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

/*Data for the table `oauth_client_details` */

/*Table structure for table `oauth_client_token` */

DROP TABLE IF EXISTS `oauth_client_token`;

CREATE TABLE `oauth_client_token` (
  `token_id` varchar(255) DEFAULT NULL,
  `token` longblob,
  `authentication_id` varchar(255) DEFAULT NULL,
  `user_name` varchar(255) DEFAULT NULL,
  `client_id` varchar(255) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

/*Data for the table `oauth_client_token` */

/*Table structure for table `oauth_code` */

DROP TABLE IF EXISTS `oauth_code`;

CREATE TABLE `oauth_code` (
  `code` varchar(255) DEFAULT NULL,
  `authentication` varbinary(2550) DEFAULT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

/*Data for the table `oauth_code` */

/*Table structure for table `oauth_refresh_token` */

DROP TABLE IF EXISTS `oauth_refresh_token`;

CREATE TABLE `oauth_refresh_token` (
  `token_id` varchar(255) DEFAULT NULL,
  `token` longblob,
  `authentication` longblob
) ENGINE=InnoDB DEFAULT CHARSET
最低0.47元/天 解锁文章
Spring Security OAuth2.0认证授权 --- 高级篇
shuai_h的博客
06-19 2011
六、OAuth2.0 6.1、OAuth2.0介绍 OAuth（开放授权）是一个开放标准，允许用户授权第三方应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方应用或分享他们数据的所有内容。OAuth2.0是OAuth协议的延续版本，但不向后兼容OAuth 1.0即完全废止了OAuth1.0。很多大公司如Google，Yahoo，Microsoft等都提供了OAUTH认证服务，这些都足以说明OAUTH标准逐渐成为开放资源授权的标准。 Oauth协议目前发展到2.0版本，1.0版本过
久等|全面拥抱Spring全新OAuth解决方案
m0_67645544的博客
06-06 1035
Spring 团队正式宣布 Spring Security OAuth 停止维护，该项目将不会再进行任何的迭代目前 Spring 生态中的 OAuth2 授权服务器是 Spring Authorization Server 已经可以正式生产使用作为 SpringBoot 3.0 的过渡版本 SpringBoot 2.7.0 过期了大量关于 SpringSecurity 的配置类,如沿用旧版本过期配置无法向上升级。目前最新的 SAS 0.3 基于 Java 11 构建，低版本 Java 无法使用经过和 Spr
SpringSecurity认证服务器：OAuth2授权服务器实现
最新发布
程序媛学姐的博客
04-21 1176
OAuth2授权服务器默认使用JWT作为访问令牌格式。@Component@Override// 添加用户角色// 添加其他自定义声明@BeanSpring Authorization Server为构建OAuth2授权服务器提供了强大而灵活的支持。通过适当的配置，可以快速实现一个功能完备的认证授权中心，支持多种授权类型和客户端认证方法。本文介绍了Spring Authorization Server的基础配置、客户端注册、用户认证、令牌定制以及授权确认页面的定制方法。
Spring Security OAuth 2.0
weixin_46894136的博客
07-15 2622
OAuth2通常用于构建安全的API和Web应用程序，使用户能够授权其他应用程序访问其数据，同时提供了更好的安全性和用户控制。除了OAuth2之外，Spring Security还提供了其他身份验证和授权机制的支持，例如基于表单的身份验证和基于角色的授权。OAuth 2.0是一种授权框架，提供了一套规范和协议，用于实现授权流程和访问令牌的管理，而非单个的授权协议。简化模式的优点是简单易用，适用于客户端是浏览器的应用程序，但缺点是安全性较低，因为访问令牌直接传递给浏览器，容易被恶意攻击者截获。
Spring Security——OAuth2.0
热门推荐
代码星辰的博客
10-06 1万+
Spring Security——OAuth2.0
Spring Security + OAuth2.0
myli92的博客
03-03 1652
协议为用户资源的授权提供了一个安全的、开放而又简易的标准（开放授权标准）。它允许用户授权第三方应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方应用或分享他们数据的所有内容。
spring security oauth2.0 实现
weixin_33726943的博客
04-05 251
　　oauth应该属于security的一部分。关于oauth的的相关知识可以查看阮一峰的文章：http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html 一、目标 　　现在很多系统都支持第三方账号密码等登陆我们自己的系统，例如：我们经常会看到，一些系统使用微信账号，微博账号、QQ账号等登陆自己的系统，我们现在就是要模拟这种登陆的方式，很多大的公...
SpringSecurity整合OAuth2.0
玩转Java
12-10 1万+
springsecurity整合aoth2.0
Spring Security Oauth2.0 实现短信验证码登录示例
08-28
在该示例中，我们将使用 Spring Security Oauth2.0 实现短信验证码登录功能。该功能允许用户使用手机号码和短信验证码进行登录验证。 三、MobileAuthenticationToken 类 MobileAuthenticationToken 类是一个自定义...
spring security + oauth 2.0 实现单点登录、认证授权
06-26
在Spring Security和OAuth 2.0的组合中，`xp-sso-server`充当认证中心，处理所有用户的登录和授权请求。 - 当用户在任何客户端应用（如`xp-sso-client-a`或`xp-sso-client-b`）上尝试访问受保护资源时，会被重定向...
spring security 基于oauth 2.0 实现 sso 单点登录Demo.zip
06-12
spring security 基于oauth 2.0 实现 sso 单点登录Demo 使用 spring security 基于oauth 2.0 实现 sso 单点登录Demo spring boot + spring security + spring security oauth
Spring Security oauth2
06-28
#OAuth2-Defender ##主要技术 Maven Spring Boot Spring Security Spring Security OAuth2.0 MySQL ##修改数据库配置 修改defender-oauth2-authorization\src\main\resources\application.properties中MySQL的主机配置 修改defender-oauth2-resource\src\main\resources\application.properties中MySQL的主机配置 ##初始化数据库 在MySQL客户端执行SQL脚本： defender-oauth2-authorization\doc\schema.sql defender-oauth2-authorization\doc\data.sql ##启动服务器 ###启动认证服务器 运行defender-oauth2-authorization模块下AuthorizationApplication类的main方法。 ###启动资源服务器 运行defender-oauth2-resource模块下ResourceApplication类的main方法。 ###启动客户端服务器 运行defender-oauth2-client模块下ClientApplication类的main方法。 ##访问客户端主页面 在浏览器访问：localhost:8882/defender，测试5中不同授权模式。 ##后期工作 支持缓存 添加Spring Security防御功能
spring security oauth2.0 （讲义+代码）
03-10
本讲义结合代码将深入探讨如何利用Spring Security OAuth2.0 实现这一目标。 首先，OAuth2.0 有四个核心角色：资源所有者（Resource Owner）、客户端（Client）、资源服务器（Resource Server）和授权服务器...
Oauth2.0:Springsecurity的Oauth2.0实现样例
05-14
在"Spring Security的OAuth2.0实现样例"项目中，主要包含以下几个核心组件和服务： 1. **认证授权服务端**： 这是整个OAuth2.0流程的核心，负责用户认证、颁发令牌（Access Token）和Refresh Token。Spring ...
Spring Security Oauth2.0
weixin_45893072的博客
03-03 3912
Oauth2的授权模式 1.授权码模式（Authorization Code）（常用） 2.隐式授权模式（Implicit） 3.密码模式（Resource Owner Password Credentials）（常用） 4.客户端模式（Client Credentials） 授权码模式 1、客户端请求第三方授权 2、用户(资源拥有者)同意给客户端授权 3、客户端获取到授权码，请求认证服务器申请 令牌 4、认证服务器向客户端响应令牌 5、客户端请求资源服务器的资源，资源服务校验令牌合法性，完成授权 ..
Spring Security 简单理解OAuth2.0
Life And Code
07-31 2253
文章目录1. 基本概念1.1 什么是认证1.2 什么是会话1.3 什么是授权1.4 授权的数据模型1.5 RBAC1.5.1 基于角色的访问控制1.5.2 基于资源的访问控制2. 基于Session的认证方式2.1 认证流程2.2 创建工程2.3 实现认证功能2.3.1 认证页面2.3.2 认证接口2.4 实现会话功能2.5 实现授权功能3. Spring Security快速上手3.1 Spring Security介绍3.2 创建工程3.3 认证3.3.1 认证页面3.3.2 安全配置3.3.3 Spr
springsecurity oauth2.0
warrah 南极狼
02-08 3839
参考了Springboot2+SpringSecurity+Oauth2+Mysql数据库实现持久化客户端数据 1 基本环境搭建 1.1 数据库脚本 数据库脚本从官方spring-security-oauth中获取，根据你需要创建对应的表.我这里用到了下面几张表。 1.2 ouath2.0相关jar 引入对应的jar,与security和oauth2.0相关的 <!--security oauth2.0配置--> <dependency>
SpringSecurity实现Oauth2.0
llwhlee的博客
08-08 713
SpringSecurity实现Oauth2.0。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

10年JAVA大数据技术研究者

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值