授权机制（OAuth2、JWT、Security）- @by_TWJ

已于 2024-03-28 18:23:37 修改
阅读量1.4k 收藏 17
点赞数 18
分类专栏： java 文章标签： java
于 2024-03-13 15:18:35 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/u010101252/article/details/136681078
版权

授权机制（OAuth2、JWT、Security）

授权机制（OAuth2、JWT、Security）

1、前言背景

  1. 目前主流的用户认证方法有：
  • 基于session
  • 基于token

JWT是用在前后端分离, 需要简单的对后台API进行保护时使用.(前后端分离无session, 频繁传用户密码不安全)

这里有具体的详情：session和jwt区别

  1. 第三方网站登录：
  • OAuth2用在使用第三方账号登录的情况(比如使用weibo, qq, github登录某个app)

参考文章：http://www.rfcreader.com/#rfc6750

2、OAuth2

参考文章：前言技术之Oauth2全方面介绍

2.1、OAuth2的四种角色，它们的关系

Oauth一共定义了四种角色:

  • 1.资源所有者（Resource Owner） ：即代表用户本身

  • 2.资源服务器（Resource Server） ：存储受保护的账号信息

  • 3.授权服务器（Authorization Server） ：在成功验证用户身份，并获得授权后，给客户端派发访问资源令牌

  • 4.客户端（Client） ：即代表你访问的第三方应用

参考文章：有图解有案例，我终于把OAuth2.0搞清楚了

A 客户端向资源拥有者发送授权申请；
B 资源拥有者同意客户端的授权，返回授权码；
C 客户端使用授权码向认证服务器申请令牌token；
D 认证服务器对客户端进行身份校验，认证通过后发放令牌；
E 客户端拿着认证服务器颁发的令牌去资源服务器请求资源；
F 资源服务器校验令牌的有效性，返回给客户端资源信息；

在这里插入图片描述

例子：
在这里插入图片描述

2.2、Oauth2四种认证方式/授权方式

  • 授权码：通过授权码，服务端通过 Ajax 把 access token 返回给客户端
  • 隐式：用于移动 APP 或 web 应用（应用运行在用户的设备上）
  • 用户密码凭证：同一个公司不同系统之间内部账户互联互通，比如国内某社区的代码托管系统通过社区的账户也可以登录。
  • 客户端凭证：第三方应用自身服务访问提供 OAuth2 服务提供的平台资源
2.2.1、流程图
2.2.1.1、授权码模式

在这里插入图片描述

2.2.1.2、隐式授权模式

在这里插入图片描述

2.2.1.3、密码模式

在这里插入图片描述

2.2.1.4、客户端模式

在这里插入图片描述

2.3、oauth2 模式是否需要前后端

在这里插入图片描述

2.4、oauth2 选型

在这里插入图片描述

参考文章：https://blog.youkuaiyun.com/fcclzydouble/article/details/124021146

2.5、请求参数说明

2.5.1、授权码模式
2.5.1.1、获取授权码
请求URL
https://authorization-server.com/auth
 ?response_type=code 
 &client_id=29352910282374239857
 &redirect_uri=https%3A%2F%2Fexample-app.com%2Fcallback
 &scope=create+delete
 &state=xcoiv98y3md22vwsuye3kch
请求参数说明：
参数是否必须说明
response_type是值为code表示指定服务端返回授权码
client_id是平台分配给第三方应用的 ID
redirect_uri是回调 URL ，处理完后会直接重定向回调URL，并在回调URL后面加上?code=,例如：https://dropletbook.com/callback?code=AUTHORIZATION_CODE
scope是请求权限类型，一个或多个空格分隔的字符串，指示应用程序恳求的权限。
state否应用程序生成一个随机字符串并将其包括在恳求中。然后它应该查看在用户授权应用程序后是否回来相同的值。这用于避免 CSRF 攻击。
2.5.1.2、获取access_token
请求URL
https://cloud.digitalocean.com/v1/oauth/token?client_id=CLIENT_ID&client_secret=CLIENT_SECRET&grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=CALLBACK_URL
请求参数说明:
参数是否必须说明
client_id是平台分配给第三方应用的 ID
client_secret是平台分配给第三方应用的 密钥
grant_type是授权类型，填写authorization_code，表示授权码模式
code是授权码
redirect_uri是一定和申请授权码时用的redirect_uri一致
2.5.2、隐式模式
2.5.2.1、获取access_token
请求URL
https://authorization-server.com/auth
 ?response_type=token
 &client_id=29352910282374239857
 &redirect_uri=https%3A%2F%2Fexample-app.com%2Fcallback
 &scope=create+delete
 &state=xcoiv98y3md22vwsuye3kch
请求参数说明：
参数是否必须说明
response_type是值为token表示指定服务端返回token
client_id是平台分配给第三方应用的 ID
redirect_uri是回调 URL ，处理完后会直接重定向回调URL，并在回调URL后面加上?code=,例如：https://dropletbook.com/callback?code=AUTHORIZATION_CODE
scope是请求权限类型，一个或多个空格分隔的字符串，指示应用程序恳求的权限。
state否应用程序生成一个随机字符串并将其包括在恳求中。然后它应该查看在用户授权应用程序后是否回来相同的值。这用于避免 CSRF 攻击。
2.5.3、密码模式
2.5.3.1、获取access_token
请求URL
POST /oauth/token HTTP/1.1
Host: authorization-server.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic Y2xpZW50OnNlY3JldA==

grant_type=password&username=johndoe&password=A3ddj3w

在上面的请求中，Authorization头部包含了客户端的ID和Secret，"grant_type=password"表示使用密码模式进行授权，"username"和"password"分别是用户的用户名和密码。

请求参数说明：
参数是否必须说明
grant_type是值为password表示使用密码模式
username是用户名
password是密码
2.5.4、客户端模式
2.5.4.1、获取access_token
请求URL
POST /oauth/token HTTP/1.1
Host: authorization-server.com
Authorization: Basic Base64Encode(client_id:client_secret)
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials

在上面的请求中，Authorization头部包含了客户端的ID和Secret，

请求参数说明：
参数是否必须说明
grant_type是值为client_credentials表示客户端模式
2.5.5、token
2.5.5.1、token使用

token_type：有MAC Token与Bearer Token两种类型，两种的校验算法不同，RFC 6750建议Oauth2采用 Bearer Token（http://www.rfcreader.com/#rfc6750）。

Bearer Token

bearer token 是一个加密字符串，通常由服务端根据密钥生成。
客户端在请求服务端时，必须在请求头中包含 Authorization: Bearer <token>。
服务端收到请求后，解析出 <token> ，并校验 <token> 的合法性。
如果校验通过，则认证通过。

例如：

GET /api/userinfo HTTP/1.1
Host: resource-server.com
Authorization: Bearer 2YotnFZFEjr1zCsicMWpAA
MAC Token（略）

（我也没找到资料）

2.5.5.2、刷新token
请求URL
https://cloud.digitalocean.com/v1/oauth/token?grant_type=refresh_token&client_id=CLIENT_ID&client_secret=CLIENT_SECRET&refresh_token=REFRESH_TOKEN
请求参数说明:
参数是否必须说明
grant_type是授权类型，填写refresh_token，表示授权码模式刷新token
client_id是平台分配给第三方应用的 ID
client_secret是平台分配给第三方应用的 密钥
refresh_token是刷新token，这个和access_token不一样 ，在获取access_token的时候，会返回refresh_token

3、spring security

3.1、OAuth2 整合

参考文章：https://docs.spring.io/spring-security/reference/servlet/oauth2/login/index.html

英文文档比较难读，而且暂时不需要用，所以就不深入去解读了。

3.1.1、配置自定义提供程序属性

在这里插入图片描述

例如：

spring:
  security:
    oauth2:
      client:
        registration:
          okta:
            client-id: okta-client-id
            client-secret: okta-client-secret
        provider:
          okta:	
            authorization-uri: https://your-subdomain.oktapreview.com/oauth2/v1/authorize
            token-uri: https://your-subdomain.oktapreview.com/oauth2/v1/token
            user-info-uri: https://your-subdomain.oktapreview.com/oauth2/v1/userinfo
            user-name-attribute: sub
            jwk-set-uri: https://your-subdomain.oktapreview.com/oauth2/v1/keys

4、JWT

4.1、jwt概念

参考文章：https://blog.youkuaiyun.com/sssssooo/article/details/128509302

JWT是一种认证协议，提供了一种用于发布接入令牌（Access Token),并对发布的签名接入令牌进行验证的方法。SSO私钥加密token。应用端公钥解密token,

4.2、jwt格式

参考文章：https://www.jianshu.com/p/455a537854a9
参考文章：https://blog.youkuaiyun.com/Solo95/article/details/123456965

一个JWT包含3个部分：
头部Header：可存放签名的类型
数据Payload：可存放用户数据和有效期，Payload的内容在接收者端是通过签名(Signature)来校验的。
签名Signature：使用密钥对Header和Payload数据进行加密生成签名。

4.2.1、header
{
	"alg": "HS256",
	"typ": "JWT"
}
JWS算法名称描述
HS256HMAC256HMAC with SHA-256
HS384HMAC384HMAC with SHA-384
HS512HMAC512HMAC with SHA-512
RS256RSA256RSASSA-PKCS1-v1_5 with SHA-256
RS384RSA384RSASSA-PKCS1-v1_5 with SHA-384
RS512RSA512RSASSA-PKCS1-v1_5 with SHA-512
ES256ECDSA256ECDSA with curve P-256 and SHA-256
ES384ECDSA384ECDSA with curve P-384 and SHA-384
ES512ECDSA512ECDSA with curve P-521 and SHA-512
PS256RSAPSSSA256RSAPSS with SHA-256
PS384RSAPSSSA384RSAPSS with SHA-384
4.2.2、Payload

JWT token的第二部分是包含了声明的payload，声明是一个实体的表述加上额外信息，一共有三种形式的声明：注册、共有和私有。

注册声明（建议但不强制）：

  • iss: jwt签发者
  • sub: jwt使用者
  • aud: jwt接收者
  • exp: jwt过期时间，该时间必须大于签发时间
  • nbf: 定义在某个时间之前，该jwt都是不可用的
  • iat: jwt签发时间
  • jti: jwt唯一身份标注，主要用于一次性token，从而避免重放攻击
    （注：为了保持紧凑，注册声明都是三个字母）

公有声明：
公有声明可以加入任何信息，一般会添加用户相关信息或者业务需要的信息，但不建议添加敏感信息，因为该部分会在客户端解密。
私有声明：
私有声明是提供者和使用者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密，基本等同于明文信息。

例如：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}
4.2.3、Signature(签名)
4.2.4、公式
String header = "";
String payload = "";
String secret = "";
HMACSHA256( 
    base64UrlEncode(header) + "." + base64UrlEncode(payload),
    secret
)

4.3、java代码

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

    public final static String SECRET = "abcdefghijklmnopqrstuvwxyz";
       public String getToken(){
        // Jwt存储信息
        Map<String, Object> claimsMap = new HashMap<String, Object>();
        claimsMap.put("user_key", token);//随机id
        claimsMap.put("user_id", userId);//用户id
        claimsMap.put("username", userName);//用户名
        return createToken(claimsMap);
       }
   public static String createToken(Map<String, Object> claims)
    {
        String token = Jwts.builder().setClaims(claims).signWith(SignatureAlgorithm.HS512, secret).compact();
        return token;
    }

4.4、流程图

在这里插入图片描述

spring security oauth2 实现jwt sso
11-14
该资源实现了一个sso单点登陆的功能，类似于在淘宝网登陆之后可以不需要登陆天猫即可访问天猫网；使用了spring security oauth2以及jwt。
security-oauth2-jwt-server.zip
09-04
认证授权与资源服务源码，个人项目分享，开箱简单配置即可使用，因为作为demo发布，所以认证和资源在同一个服务，如果需要分开服务，则只需要把ResServerConfig类单独提取到资源服务器即可，同时打开注释jwttoken,...
OAuth2和JWT - 如何设计安全的API？
码猿技术专栏
02-02 382
点击上方☝码猿技术专栏轻松关注，设为星标！及时获取有趣有料的技术转自：乐傻驴链接：www.jianshu.com/p/1f2d6e5126cb本文会详细描述两种通用的保证API安全性的...
从零到一：用Java和Spring Security构建OAuth2授权服务器
最新发布
exlink2012的专栏
04-07 1356
本文将带领读者从零开始，使用Java和Spring Security框架构建一个功能完整的OAuth2授权服务器，深入理解OAuth2的核心概念和实现细节。
OAuth2+JWT
Eris_QwQ的博客
06-15 1616
这样是对资源服务器进行深度自定义，我们可以为每个微服务编写一个配置类，比如我们现在希望用户授权了某个 Scope 才可以访问此服务。public class ResourceConfiguration extends ResourceServerConfigurerAdapter { //继承此类进行高度自定义@Override。
JWT和OAuth2.0
热门推荐
Kard的博客
12-31 1万+
JWT是一种认证协议，提供了一种用于发布接入令牌（Access Token),并对发布的签名接入令牌进行验证的方法。SSO私钥加密token。应用端公钥解密token。 OAuth2.0是一种授权框架，提供了一套详细的授权机制（指导）。用户或应用可以通过公开的或私有的设置，授权第三方应用访问特定资源。
OAuth2是什么，jwt之间有什么关系
weixin_45428910的博客
10-14 900
OAuth2是什么，jwt之间有什么关系
spring-security-oauth2-2.3.5.RELEASE-API文档-中文版.zip
05-09
赠送jar包：spring-security-oauth2-2.3.5.RELEASE.jar； 赠送原API文档：spring-security-oauth2-2.3.5.RELEASE-javadoc.jar； 赠送源代码：spring-security-oauth2-2.3.5.RELEASE-sources.jar； 赠送Maven依赖信息...
spring-security-oauth2-authorization-server.zip
08-25
本项目“spring-security-oauth2-authorization-server”将带你深入理解如何利用Spring Security OAuth2构建一个授权服务器，以保护你的API并提供安全的访问控制。 OAuth2是一种开放标准，用于授权第三方应用访问...
Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权
04-22
本教程将探讨如何使用Spring Boot结合Spring Security、OAuth2和JWT（JSON Web Token）来搭建一个认证服务器、API网关以及微服务之间的权限认证和授权机制。 首先，Spring Security是Spring框架的一个模块，专门...
spring-security-oauth2-autoconfigure-2.1.8.RELEASE-文档-中英对照版.zip
05-04
赠送jar包：spring-security-oauth2-autoconfigure-2.1.8.RELEASE.jar； 赠送原API文档：spring-security-oauth2-autoconfigure-2.1.8.RELEASE-javadoc.jar； 赠送源代码：spring-security-oauth2-autoconfigure-...
基于JWT OAUTH2 SpringSecurity单点登录
01-30
基于JWT OAUTH2 SpringSecurity单点登录 . 单点登录流: 1. 访问client1 2. `client1`将请求导向`sso-server` 3. 同意授权 4. 携带授权码`code`返回`client1` 5. `client1`拿着授权码请求令牌 6. 返回`JWT`令牌 7. `client1`解析令牌并登录 8. `client1`访问`client2` 9. `client2`将请求导向`sso-server` 10. 同意授权 11. 携带授权码`code`返回`client2` 12. `client2`拿着授权码请求令牌 13. 返回`JWT`令牌 14. `client2`解析令牌并登录
OAuth2 vs JWT，到底怎么选？，java架构师面试宝典和答案
m0_60567796的博客
03-29 1612
在这里，由于面试中MySQL问的比较多，因此也就在此以MySQL为例为大家总结分享。但是你要学习的往往不止这一点，还有一些主流框架的使用，Spring源码的学习，Mybatis源码的学习等等都是需要掌握的，我也把这些知识点都整理起来了24b （备注Java）**[外链图片转存中…(img-UJ6MYTqZ-1711713716991)]在这里，由于面试中MySQL问的比较多，因此也就在此以MySQL为例为大家总结分享。
SpringSecurity OAuth2+JWT+网关实现认证授权中心
我神级欧文的博客
02-17 9690
之前利用SpringSecurity OAuth2搭建了一个认证服务器，并且结合网关搭建了一个安全认证的架构，而这个架构也是有缺点的，很明显的就是用户的信息是通过加在请求头到微服务去取出来的，这样就会容易泄露用户的信息并且很容易被别人截获请求伪造用户信息，而且网关每一次都要请求认证服务器去验证token是否正确，加重了认证服务器的负担。那么这里我们解决这两个问题用的就是jwt。 什么是JWT？ ...
OAuth2 vs JWT，到底怎么选？
m0_71777195的博客
06-15 3979
本文会详细描述两种通用的保证API安全性的方法：OAuth2和JSON Web Token (JWT)假设:要比较JWT和OAuth2？首先要明白一点就是，这两个根本没有可比性，是两个完全不同的东西。先来搞清楚JWT和OAuth2究竟是干什么的～JWT在标准中是这么定义的：JWT是一种安全标准。基本思路就是用户提供用户名和密码给认证服务器，服务器验证用户提交信息信息的合法性；如果验证成功，会产生并返回一个Token（令牌），用户可以使用这个token访问服务器上受保护的资源。一个token的例子: 一个
OAuth2和JWT
Minor的Java技术博客
07-25 1976
这种模式需要客户端、服务端、三方服务器共同协调完成，这种模式需要三方应用客户端通过授权得到一个Code码，客户端拿着这个code请求自己公司的服务端，服务器通过code去三方应用获取一个Access_Token，得到三方的Access_Token以后，服务器就可以调用API获取用户的一些非敏感信息了，例如可以拿到用户的头像、用户名、账号ID、open_id、union_id等。目前主流的版本是OAuth2。这种模式抛弃了用户的概念，客户端以自己的名义发起授权请求，这种模式适用于命令行的一些基础应用。...
【安全框架】Spring Security、Oauth2、JWT 这一篇就够了
小源同学的博客
01-17 8025
文章目录Spring Security1. 安全框架概述2. Spring Security 简述3.Spring Security3.1 创建项目3.2 项目依赖3.3 页面3.3.1 login.html3.3.2 main.html3.4 测试3.4.1 启动项目3.4.2 打开浏览器3.5 自定义登录逻辑3.5.1 Security 的配置类3.5.2 UserDetailsService 的实现类3.5.3 重启测试3.6 自定义登陆页面3.6.1 login.html3.6.2 Security
权限管理SpringSecurity Oauth2整合JWT实战总结（三）
FlyingFish868的博客
03-26 1223
1、JWT 1.1、基本的认证机制 1） HTTP Basic Auth HTTP Basic Auth简单点说明就是每次请求API时都提供用户的username和password，简言之，Basic Auth是配合RESTful API 使用的最简单的认证方式，只需提供用户名密码即可，但由于有把用户名密码暴露给第三方客户端的风险，在生产环境下被使用的越来越少。因此，在开发对外开放RESTful API时，尽量避免采用HTTP Basic Auth。 2） Cookie Auth Cookie认证机制就是为
oauth2和jwt_OAuth2，JWT，Open-ID Connect和其他令人困惑的事物
最佳 Java 编程
06-29 373
oauth2和jwt 免责声明 如果觉得我必须从一个重要的免责声明开始这篇文章： 不要太相信我要说的话。 我之所以这样说，是因为我们正在讨论安全性。 而且， 当您谈论安全性时，除了100％正确的陈述外，还有冒任何其他风险的风险。 因此，请记住本文，牢记您的真理来源应为官方规格 ，这只是我自己脑中概述该主题并将其介绍给初学者的概述。 任务 我决定写这篇文章是因为我总是发现OAuth2令人困惑...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值