Spring Security OAuth2 RedisTokenStore 和 JwtTokenStore

区别

JWTTokenStore	RedisTokenStore
token信息，认证信息封装在JWT负载中	token信息，认证信息保存在Redis服务
token为加密的JWT负载	token为随机redis key
通过解密token获取用户认证信息	通过认证服务器校验token获取用户认证信息

优缺点

JWTTokenStore	RedisTokenStore
无需保存用户认证信息	使用Redis服务保存用户认证信息
无法撤销用户授权	可以撤销用户撤销

 

JwtTokenStore类需要一个JwtAccessTokenConverter类来作为构造函数的参数、主要用于解析和验证Jwt生成的token的。

 

OAuth2中有一个很重要的接口 TokenStore接口、该接口就是为了生成token的、当然也可以保存token、移除token等等。

其中还有个重要的接口AuthorizationServerTokenServices、该接口默认实现类是DefaultTokenServices、该类在用户进行授权的时候会执行createAccessToken方法。

    @Transactional
    public OAuth2AccessToken createAccessToken(OAuth2Authentication authentication) throws AuthenticationException {
        //调用tokenStore的getAccessToken方法、在使用Jwt时、JwtTokenStore的该方法返回为null
        //RedisTokenStore的话会去查询当前是否存在该用户的Token、如果不存在则返回null
        OAuth2AccessToken existingAccessToken = this.tokenStore.getAccessToken(authentication);
        OAuth2RefreshToken refreshToken = null;
        if (existingAccessToken != null) {
            //以下这个if块中的代码就是为啥在使用Redis的时候、如果token未过期不会再次生成的原因
            if (!existingAccessToken.isExpired()) {
                this.tokenStore.storeAccessToken(existingAccessToken, authentication);
                return existingAccessToken;
            }
            //如果上面那句没被return、这里看看刷新token是否为null、不为null的话就把刷新token移除
            if (existingAccessToken.getRefreshToken() != null) {
                refreshToken = existingAccessToken.getRefreshToken();
                this.tokenStore.removeRefreshToken(refreshToken);
            }
            //移除token
            this.tokenStore.removeAccessToken(existingAccessToken);
        }
        if (refreshToken == null) {//这个是获取刷新token的代码
            refreshToken = this.createRefreshToken(authentication);
        } else if (refreshToken instanceof ExpiringOAuth2RefreshToken) {
            ExpiringOAuth2RefreshToken expiring = (ExpiringOAuth2RefreshToken)refreshToken;
            if (System.currentTimeMillis() > expiring.getExpiration().getTime()) {
                refreshToken = this.createRefreshToken(authentication);
            }
        }
        //这里是生成existingAccessToken 为空或者最上面那个if块并没有被return的时候执行的
        //创建token代码、这里需要说一下、createAccessToken在Jwt的时候需要额外关注一下、在下面介绍该方法
        OAuth2AccessToken accessToken = this.createAccessToken(authentication, refreshToken);
        this.tokenStore.storeAccessToken(accessToken, authentication);//储存token
        refreshToken = accessToken.getRefreshToken();
        if (refreshToken != null) {
            this.tokenStore.storeRefreshToken(refreshToken, authentication);//储存刷新token的
        }

        return accessToken;
    }

接下来解析DefaultTokenServices的createAccessToken(OAuth2Authentication, OAuth2RefreshToken)方法、该方法在使用Jwt生成token时很重要、最重要的在最后一行、大白话就是如果accessTokenEnhancer不为null那么就调用accessTokenEnhancer 来生成token否者就返回当前DefaultOAuth2AccessToken类生成的token

private OAuth2AccessToken createAccessToken(OAuth2Authentication authentication, OAuth2RefreshToken refreshToken) {
        DefaultOAuth2AccessToken token = new DefaultOAuth2AccessToken(UUID.randomUUID().toString());
        int validitySeconds = this.getAccessTokenValiditySeconds(authentication.getOAuth2Request());
        if (validitySeconds > 0) {
            token.setExpiration(new Date(System.currentTimeMillis() + (long)validitySeconds * 1000L));
        }

        token.setRefreshToken(refreshToken);
        token.setScope(authentication.getOAuth2Request().getScope());
        //TokenEnhancer接口
        return (OAuth2AccessToken)(this.accessTokenEnhancer != null ? this.accessTokenEnhancer.enhance(token, authentication) : token);
    }

而JwtTokenStore类需要一个JwtAccessTokenConverter类来作为构造函数的参数、主要用于解析和验证Jwt生成的token的、DefaultTokenServices类也需要、所以这里就需要分别配置TokenStore和TokenEnhancer、两个必须都配置。

 

转：https://blog.youkuaiyun.com/qq_38719011/article/details/96422915