区别
JWTTokenStore | RedisTokenStore |
---|---|
token信息,认证信息封装在JWT负载中 | token信息,认证信息保存在Redis服务 |
token为加密的JWT负载 | token为随机redis key |
通过解密token获取用户认证信息 | 通过认证服务器校验token获取用户认证信息 |
优缺点
JWTTokenStore | RedisTokenStore |
---|---|
无需保存用户认证信息 | 使用Redis服务保存用户认证信息 |
无法撤销用户授权 | 可以撤销用户撤销 |
JwtTokenStore
类需要一个JwtAccessTokenConverter
类来作为构造函数的参数、主要用于解析和验证Jwt生成的token的。
OAuth2
中有一个很重要的接口 TokenStore
接口、该接口就是为了生成token的、当然也可以保存token、移除token等等。
其中还有个重要的接口AuthorizationServerTokenServices
、该接口默认实现类是DefaultTokenServices
、该类在用户进行授权的时候会执行createAccessToken
方法。
@Transactional
public OAuth2AccessToken createAccessToken(OAuth2Authentication authentication) throws AuthenticationException {
//调用tokenStore的getAccessToken方法、在使用Jwt时、JwtTokenStore的该方法返回为null
//RedisTokenStore的话会去查询当前是否存在该用户的Token、如果不存在则返回null
OAuth2AccessToken existingAccessToken = this.tokenStore.getAccessToken(authentication);
OAuth2RefreshToken refreshToken = null;
if (existingAccessToken != null) {
//以下这个if块中的代码就是为啥在使用Redis的时候、如果token未过期不会再次生成的原因
if (!existingAccessToken.isExpired()) {
this.tokenStore.storeAccessToken(existingAccessToken, authentication);
return existingAccessToken;
}
//如果上面那句没被return、这里看看刷新token是否为null、不为null的话就把刷新token移除
if (existingAccessToken.getRefreshToken() != null) {
refreshToken = existingAccessToken.getRefreshToken();
this.tokenStore.removeRefreshToken(refreshToken);
}
//移除token
this.tokenStore.removeAccessToken(existingAccessToken);
}
if (refreshToken == null) {//这个是获取刷新token的代码
refreshToken = this.createRefreshToken(authentication);
} else if (refreshToken instanceof ExpiringOAuth2RefreshToken) {
ExpiringOAuth2RefreshToken expiring = (ExpiringOAuth2RefreshToken)refreshToken;
if (System.currentTimeMillis() > expiring.getExpiration().getTime()) {
refreshToken = this.createRefreshToken(authentication);
}
}
//这里是生成existingAccessToken 为空或者最上面那个if块并没有被return的时候执行的
//创建token代码、这里需要说一下、createAccessToken在Jwt的时候需要额外关注一下、在下面介绍该方法
OAuth2AccessToken accessToken = this.createAccessToken(authentication, refreshToken);
this.tokenStore.storeAccessToken(accessToken, authentication);//储存token
refreshToken = accessToken.getRefreshToken();
if (refreshToken != null) {
this.tokenStore.storeRefreshToken(refreshToken, authentication);//储存刷新token的
}
return accessToken;
}
接下来解析DefaultTokenServices
的createAccessToken(OAuth2Authentication, OAuth2RefreshToken)
方法、该方法在使用Jwt生成token时很重要、最重要的在最后一行、大白话就是如果accessTokenEnhancer
不为null那么就调用accessTokenEnhancer
来生成token否者就返回当前DefaultOAuth2AccessToken
类生成的token
private OAuth2AccessToken createAccessToken(OAuth2Authentication authentication, OAuth2RefreshToken refreshToken) {
DefaultOAuth2AccessToken token = new DefaultOAuth2AccessToken(UUID.randomUUID().toString());
int validitySeconds = this.getAccessTokenValiditySeconds(authentication.getOAuth2Request());
if (validitySeconds > 0) {
token.setExpiration(new Date(System.currentTimeMillis() + (long)validitySeconds * 1000L));
}
token.setRefreshToken(refreshToken);
token.setScope(authentication.getOAuth2Request().getScope());
//TokenEnhancer接口
return (OAuth2AccessToken)(this.accessTokenEnhancer != null ? this.accessTokenEnhancer.enhance(token, authentication) : token);
}
而JwtTokenStore
类需要一个JwtAccessTokenConverter
类来作为构造函数的参数、主要用于解析和验证Jwt生成的token的、DefaultTokenServices
类也需要、所以这里就需要分别配置TokenStore
和TokenEnhancer
、两个必须都配置。
转:https://blog.youkuaiyun.com/qq_38719011/article/details/96422915