<th
ink>我们正在讨论的是Spr
ing Boot 2.2.0与OAuth2.0整合实现
授权码模式（
authorization code）。
根据之前的上下文，我们知道在Spr
ing Boot 2.2.0中，官方推荐使用Spr
ing Security 5.x的OAuth2客户端支持，而不再使用旧的Spr
ing Security OAuth项目（该库已被废弃）。
因此，我们将使用`spr
ing-boot-starter-oauth2-client`来实现
授权码模式。
授权码模式流程：
1. 客户端将用户重定向到
授权服务器的
授权端点（
authorization endpo
int）。
2. 用户登录并
授权。
3.
授权服务器将用户重定向回客户端（通过redirect_uri），并附带一个
授权码（
code）。
4. 客户端使用
授权码向
授权服务器的令牌端点（
token endpo
int）请求访问令牌（access
token）和刷新令牌（refresh
token）。
在Spr
ing Boot 2.2.0中，我们可以通过以下步骤实现：
步骤1：添加依赖（pom.xml）
步骤2：配置OAuth2客户端（
application.yml）
步骤3：配置Spr
ing Security以启用OAuth2登录（
授权码模式通常用于登录）
步骤4：编写控制器
注意：在
授权码模式中，我们通常需要一个用户代理（如浏览器）来重定向用户。
下面我们详细说明：
### 1. 添加依赖
除了基本的Spr
ing Boot
Web和Security依赖，需要添加`spr
ing-boot-starter-oauth2-client`：
```xml
<dependencies>
<dependency>
<groupId>
org.spr
ingframew
ork.boot</groupId>
<artifactId>spr
ing-boot-starter-
web</artifactId>
</dependency>
<dependency>
<groupId>
org.spr
ingframew
ork.boot</groupId>
artifactId>spr
ing-boot-starter-security</artifactId>
</dependency>
<dependency>
<groupId>
org.spr
ingframew
ork.boot</groupId>
<artifactId>spr
ing-boot-starter-oauth2-client</artifactId>
</dependency>
</dependencies>
```
### 2. 配置OAuth2客户端（
application.yml）
配置示例（这里以GitHub为例，也可以自定义其他OAuth2提供者）：
```yaml
spr
ing:
security:
oauth2:
client:
registration:
github: # 注册ID，可以任意命名，但需要与提供者对应
client-id:
your-github-client-id
client-secret:
your-github-client-secret
authorization-grant-type:
authorization_
code
redirect-uri: "{baseUrl}/log
in/oauth2/
code/{registrationId}" # 注意：这个URI是Spr
ing Security OAuth2客户端默认的
# 可选：配置作用域
scope: user,public_repo
# 如果使用自定义的
授权服务器，则需要配置provider
provider:
github:
authorization-uri: https://github.com/log
in/oauth/
authorize
token-uri: https://github.com/log
in/oauth/access_
token
user-
info-uri: https://api.github.com/user
# 如果使用自定义的
授权服务器，通常还需要配置用户名的属性名（用于从用户信息中提取用户名）
user-name-attribute: log
in
```
注意：`{baseUrl}`会被替换为当前
应用的基础URL。
### 3. 安全配置
创建一个配置类，启用
Web安全并配置OAuth2登录：
```java
imp
ort
org.spr
ingframew
ork.context.annotation.Configuration;
imp
ort
org.spr
ingframew
ork.security.config.annotation.
web.builders.HttpSecurity;
imp
ort
org.spr
ingframew
ork.security.config.annotation.
web.configuration.
WebSecurityConfigurerAdapter;
@Configuration
public class SecurityConfig extends
WebSecurityConfigurerAdapter {
@Override
protected void configure
(HttpSecurity http
) throws Exception {
http
.
authorizeRequests
()
.antMatchers
("/", "/public/**"
).permitAll
()
.any
Request().authenticated
()
.and
()
.oauth2Log
in(); // 启用OAuth2登录
}
}
```
这样，当用户访问需要认证的资源时，会自动重定向到
授权服务器的登录页面（例如GitHub的登录
授权页面）。
### 4. 编写控制器
我们可以创建一个简单的控制器来展示用户信息：
```java
imp
ort
org.spr
ingframew
ork.security.oauth2.c
ore.user.OAuth2User;
imp
ort
org.spr
ingframew
ork.security.c
ore.annotation.AuthenticationPr
incipal;
imp
ort
org.spr
ingframew
ork.
web.b
ind.annotation.GetMapp
ing;
imp
ort
org.spr
ingframew
ork.
web.b
ind.annotation.RestController;
@RestController
public class UserController {
@GetMapp
ing
("/user"
)
public Str
ing user
(@AuthenticationPr
incipal OAuth2User pr
incipal
) {
return "Hello, " + pr
incipal.getAttribute
("name"
);
}
}
```
### 5. 启动
应用
启动
应用后，访问`/user`端点，将会被重定向到GitHub进行
授权。
授权后，GitHub会将用户重定向回我们的
应用（即配置的redirect_uri），然后我们的
应用会使用
授权码去获取访问令牌，并最终获取用户信息。
### 自定义
授权服务器
如果我们不想使用GitHub等第三方服务，而是使用自己的
授权服务器，那么我们需要配置自己的provider。例如，假设我们有一个
授权服务器运行在本地：
```yaml
spr
ing:
security:
oauth2:
client:
registration:
cus
tom: # 自定义的注册ID
client-id: cus
tom-client-id
client-secret: cus
tom-client-secret
authorization-grant-type:
authorization_
code
redirect-uri: "{baseUrl}/log
in/oauth2/
code/cus
tom" # 注意这里的registrationId要匹配
scope: read,write
provider:
cus
tom: # 与上面的注册ID对应
authorization-uri: http://localhost:9000/oauth/
authorize
token-uri: http://localhost:9000/oauth/
token
user-
info-uri: http://localhost:9000/user
info
user-name-attribute: sub
```
### 重要说明
-
授权服务器必须支持
授权码模式，并且配置的redirect_uri必须与
授权服务器上注册的redirect_uri匹配。
- Spr
ing Security OAuth2客户端默认提供了处理
授权码回调的端点`/log
in/oauth2/
code/*`，这个端点由`OAuth2Log
inAuthenticationFilter`处理。
###
授权码模式的安全性
授权码模式是OAuth2中最安全的模式之一，因为令牌不会经过浏览器（用户代理），而是直接从客户端后端与
授权服务器交互获取。因此，它适用于有后端的
Web应用。
注意：在Spr
ing Boot 2.2.0中，我们使用的是Spr
ing Security 5的OAuth2客户端支持，因此不需要像旧版本那样使用`@EnableOAuth2Client`或`@Enable
AuthorizationServer`等注解（这些属于已被废弃的spr
ing-security-oauth2项目）。
引用说明：
我们在回答中参考了旧版本中配置
授权服务器的方式（引用[1]），但在Spr
ing Boot 2.2.0中，官方推荐使用新的方式，即通过`oauth2Log
in()`和客户端注册配置。同时，关于Basic认证的说明（引用[2]）在获取令牌的步骤中可能会被用到（客户端在换取令牌时需要认证），但在Spr
ing Security 5的客户端中，这些细节已经被封装。
因此，我们按照新的方式实现了
授权码模式。
如果用户需要自己搭建
授权服务器，那么在Spr
ing Boot 2.2.0中，官方不再提供支持（因为
AuthorizationServer已被废弃），建议使用更专业的
授权服务器（如Keycloak）或者等待Spr
ing
Authorization Server项目成熟（目前Spr
ing官方推出了新的Spr
ing
Authorization Server项目，但需要Spr
ing Boot 2.4+）。
相关问题：
1. 如何在Spr
ing Boot中实现OAuth2
授权服务器？
2.
授权码模式与隐式模式的区别？
3. 如何通过OAuth2客户端获取用户信息？
</th
ink>以下是Spr
ing Boot 2.2.0集成OAuth 2.0实现**
授权码模式**的详细说明：
### 核心实现步骤
#### 1. 添加依赖（pom.xml）
```xml
<dependency>
<groupId>
org.spr
ingframew
ork.boot</groupId>
<artifactId>spr
ing-boot-starter-oauth2-client</artifactId>
</dependency>
<dependency>
<groupId>
org.spr
ingframew
ork.security.oauth.boot</groupId>
<artifactId>spr
ing-security-oauth2-au
toconfigure</artifactId>
<version>2.2.0.RELEASE</version>
</dependency>
```
#### 2. 配置
授权服务器
```java
@Configuration
@Enable
AuthorizationServer
public class AuthServerConfig extends
AuthorizationServerConfigurerAdapter {
private f
inal Passw
ordEn
coder passw
ordEn
coder;
public AuthServerConfig
(Passw
ordEn
coder passw
ordEn
coder
) {
this.passw
ordEn
coder = passw
ordEn
coder;
}
@Override
public void configure
(ClientDetailsServiceConfigurer clients
) throws Exception {
clients.
inMem
ory
()
.withClient
("
web_app"
) // 客户端ID
.secret
(passw
ordEn
coder.en
code("secret123"
)) // 客户端密钥
.
authorizedGrantTypes
("
authorization_
code", "refresh_
token"
) //
授权类型
.scopes
("read", "write"
) // 权限范围
.redirectUris
("http://localhost:8080/log
in/oauth2/
code/
web_app"
) // 重定向URI
.au
toApprove
(true
); // 自动批准
授权
}
}
```
#### 3. 配置资源服务器
```java
@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {
@Override
public void configure
(HttpSecurity http
) throws Exception {
http.
authorizeRequests
()
.antMatchers
("/public/**"
).permitAll
()
.any
Request().authenticated
();
}
}
```
#### 4. 安全配置
```java
@Configuration
public class SecurityConfig extends
WebSecurityConfigurerAdapter {
@Override
protected void configure
(HttpSecurity http
) throws Exception {
http
.
authorizeRequests
()
.antMatchers
("/log
in**"
).permitAll
()
.any
Request().authenticated
()
.and
()
.oauth2Log
in() // 启用OAuth2登录
.log
inPage
("/log
in"
) // 自定义登录页
.and
()
.logout
().permitAll
();
}
}
```
#### 5.
application.yml配置
```yaml
server:
p
ort: 8080
security:
oauth2:
client:
registration:
web_app: # 客户端注册ID
client-id:
web_app
client-secret: secret123
authorization-grant-type:
authorization_
code
redirect-uri: http://localhost:8080/log
in/oauth2/
code/
web_app
scope: read,write
provider:
web_app: # 提供者ID
authorization-uri: http://localhost:8080/oauth/
authorize
token-uri: http://localhost:8080/oauth/
token
user-
info-uri: http://localhost:8080/user/me
```
###
授权码流程详解
1. **用户访问客户端**
用户访问受保护资源`/secured`，被重定向到登录页 `http://localhost:8080/log
in`
2. **重定向到
授权端点**
点击"Log
in with OAuth"按钮，重定向到
授权端点：
`http://localhost:8080/oauth/
authorize?response_type=
code&client_id=
web_app&redirect_uri=http://localhost:8080/log
in/oauth2/
code/
web_app`
3. **用户
授权**
用户在
授权页面同意
授权（如果配置了`au
toApprove=true`则自动跳过）
4. **获取
授权码**
授权服务器返回
授权码到重定向URI：
`http://localhost:8080/log
in/oauth2/
code/
web_app?
code=
AUTHORIZATION_
CODE`
5. **换取访问令牌**
客户端使用
授权码向令牌端点请求令牌：
```http
POST /oauth/
token
Authorization: Basic d2ViX2FwcDpzZWNyZXQxMjM= # Basic认证（client_id:client_secret）[^2]
Content-Type:
application/x-www-f
orm-urlen
coded
grant_type=
authorization_
code&
code=
AUTHORIZATION_
CODE&redirect_uri=http://localhost:8080/log
in/oauth2/
code/
web_app
```
6. **获取资源**
使用访问令牌访问资源：
```http
GET /api/resources
Authorization: Bearer ACCESS_
TOKEN
```
### 关键特性说明
1. **安全机制**
- 使用Basic认证保护令牌端点（`
Authorization: Basic base64
(client_id:client_secret
)`）[^2]
- 短期
授权码（通常5分钟有效期）
- HTTPS强制推荐（生产环境必需）
2. **端点配置**
| 端点 | 路径 | 作用 |
|------|------|------|
|
授权端点 | `/oauth/
authorize` | 获取
授权码 |
| 令牌端点 | `/oauth/
token` | 换取访问令牌 |
| 用户信息 | `/user/me` | 获取用户详情 |
3. **会话管理**
Spr
ing Security自动管理：
- 存储
授权请求会话
- 防止CSRF攻击
- 令牌存储在`OAuth2
AuthorizedClient`对象中
### 最佳实践
1. **自定义同意页面**
```java
@Controller
public class ConsentController {
@GetMapp
ing
("/oauth/confirm_access"
)
public Str
ing consentPage
(Model model
) {
// 添加自定义
授权信息到模型
return "cus
tom-consent";
}
}
```
2. **令牌存储策略**
默认使用内存存储，生产环境推荐：
```java
@Bean
public
TokenS
tore
tokenS
tore
() {
return new Jdbc
TokenS
tore
(dataSource
); // 或 Redis
TokenS
tore
}
```
3. **范围
验证**
在资源服务器
验证访问范围：
```java
http.
authorizeRequests
()
.antMatchers
("/adm
in/**"
).access
("#oauth2.hasScope
('write'
)"
);
```
---
### 常见问题解决
**Q: 重定向URI不匹配错误**
```log
Invalid redirect_uri parameter
```
**解决方案**：确保`redirect-uri`配置与注册URI完全一致，包括大小写和结尾斜杠
**Q: 无效的
授权码错误**
```log
Invalid
authorization code:
AUTHORIZATION_
CODE
```
**解决方案**：
1. 检查
授权码有效期（通常5分钟）
2. 确保
授权码未重复使用
**Q: CSRF令牌失效**
**解决方案**：增加会话超时时间或使用分布式会话存储
```yaml
server:
servlet:
session:
timeout: 1800 # 30分钟
```
---
本文介绍如何使用OAuth2协议实现新浪微博应用的用户授权过程。主要包括两种授权方式：一是通过code方式获取授权，二是通过token直接获取授权。文中还提到了获取用户信息及发布微博的方法。
扫一扫
426
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
