Spring Security如何優雅的增加OAuth2協議授權模式
一、什麼是OAuth2協議？
OAuth 2.0 是一個關於授權的開放的網路協議，是目前最流行的授權機制。
資料的所有者告訴系統，同意授權第三方應用進入系統，獲取這些資料。系統從而產生一個短期的進入令牌（token），用來代替密碼，供第三方應用使用。
由於授權的場景眾多，OAuth 2.0 協議定義了獲取令牌的四種授權方式，分別是：
- 授權碼模式：授權碼模式（authorization code）是功能最完整、流程最嚴密的授權模式。它的特點就是通過客戶端的後臺伺服器，與"服務提供商"的認證伺服器進行互動。
- 簡化模式：簡化模式（implicit grant type）不通過第三方應用程式的伺服器，直接在瀏覽器中向認證伺服器申請令牌，跳過了"授權碼"這個步驟，因此得名。所有步驟在瀏覽器中完成，令牌對訪問者是可見的，且客戶端不需要認證。
- 密碼模式：密碼模式（Resource Owner Password Credentials Grant）中，使用者向客戶端提供自己的使用者名稱和密碼。客戶端使用這些資訊，向"服務商提供商"索要授權。
- 客戶端模式：客戶端模式（Client Credentials Grant）指客戶端以自己的名義，而不是以使用者的名義，向"服務提供商"進行認證。嚴格地說，客戶端模式並不屬於OAuth框架所要解決的問題。在這種模式中，使用者直接向客戶端註冊，客戶端以自己的名義要求"服務提供商"提供服務，其實不存在授權問題。
四種授權模式分別使用不同的 grant_type 來區分
二、為什麼要自定義授權型別？
雖然 OAuth2 協議定義了4種標準的授權模式，但是在實際開發過程中還是遠遠滿足不了各種變態的業務場景，需要我們去擴充套件。
例如增加圖形驗證碼、手機驗證碼、手機號密碼登入等等的場景
而常見的做法都是通過增加 過濾器Filter 的方式來擴充套件 Spring Security 授權，但是這樣的實現方式有兩個問題：
- 脫離了
OAuth2的管理 - 不靈活：例如系統使用 密碼模式 授權，網頁版需要增加圖形驗證碼校驗，但是手機端APP又不需要的情況下，使用增加
Filter的方式去實現就比較麻煩了。
所以目前在 Spring Security 中比較優雅和靈活的擴充套件方式就是通過自定義 grant_type 來增加授權模式。
三、實現思路
在擴充套件之前首先需要先了解 Spring Security 的整個授權流程，我以 密碼模式 為例去展開分析，如下圖所示
3.1. 流程分析
整個授權流程關鍵點分為以下兩個部分：
第一部分：關於授權型別 grant_type 的解析
- 每種
grant_type都會有一個對應的TokenGranter實現類。 - 所有
TokenGranter實現類都通過CompositeTokenGranter中的tokenGranters集合存起來。 - 然後通過判斷
grantType引數來定位具體使用那個TokenGranter實現類來處理授權。
第二部分：關於授權登入邏輯
- 每種
授權方式都會有一個對應的AuthenticationProvider實現類來實現。 - 所有
AuthenticationProvider實現類都通過ProviderManager中的providers集合存起來。 TokenGranter類會 new 一個AuthenticationToken實現類，如UsernamePasswordAuthenticationToken傳給ProviderManager類。- 而
ProviderManager則通過AuthenticationToken來判斷具體使用那個AuthenticationProvider實現類來處理授權。
具體的登入邏輯由 AuthenticationProvider 實現類來實現，如 DaoAuthenticationProvider。
3.2. 擴充套件分析
根據上面的流程，擴充套件分為以下兩種場景
場景一：只對原有的授權邏輯進行增強或者擴充套件，如：使用者名稱密碼登入前增加圖形驗證碼校驗。
該場景需要定義一個新的 grantType 型別，並新增對應的 TokenGranter 實現類 新增擴充套件內容，然後加到 CompositeTokenGranter 中的 tokenGranters 集合裡即可。
參考程式碼：PwdImgCodeGranter.java
場景二：新加一種授權方式，如：手機號加密碼登入。
該場景需要實現以下內容：
- 定義一個新的
grantType型別，並新增對應的TokenGranter實現類新增到CompositeTokenGranter中的tokenGranters集合裡 - 新增一個
AuthenticationToken實現類，用於存放該授權所需的資訊。 - 新增一個
AuthenticationProvider實現類 實現授權的邏輯，並重寫supports方法繫結步驟二的AuthenticationToken實現類
參考程式碼：MobilePwdGranter.java
四、程式碼實現
下面以 場景二 新增手機號加密碼授權方式為例，展示核心的程式碼實現
4.1. 建立 AuthenticationToken 實現類
建立 MobileAuthenticationToken 類，用於儲存手機號和密碼資訊
public class MobileAuthenticationToken extends AbstractAuthenticationToken {
private static final long serialVersionUID = SpringSecurityCoreVersion.SERIAL_VERSION_UID;
private final Object principal;
private Object credentials;
public MobileAuthenticationToken(String mobile,String password) {
super(null);
this.principal = mobile;
this.credentials = password;
setAuthenticated(false);
}
public MobileAuthenticationToken(Object principal,Object credentials,Collection<? extends GrantedAuthority> authorities) {
super(authorities);
this.principal = principal;
this.credentials = credentials;
super.setAuthenticated(true);
}
@Override
public Object getCredentials() {
return this.credentials;
}
@Override
public Object getPrincipal() {
return this.principal;
}
@Override
public void setAuthenticated(boolean isAuthenticated) {
if (isAuthenticated) {
throw new IllegalArgumentException(
"Cannot set this token to trusted - use constructor which takes a GrantedAuthority list instead");
}
super.setAuthenticated(false);
}
@Override
public void eraseCredentials() {
super.eraseCredentials();
}
}
4.2. 建立 AuthenticationProvider 實現類
建立 MobileAuthenticationProvider 類，實現登入邏輯，並繫結 MobileAuthenticationToken 類
@Setter
public class MobileAuthenticationProvider implements AuthenticationProvider {
private ZltUserDetailsService userDetailsService;
private PasswordEncoder passwordEncoder;
@Override
public Authentication authenticate(Authentication authentication) {
MobileAuthenticationToken authenticationToken = (MobileAuthenticationToken) authentication;
String mobile = (String) authenticationToken.getPrincipal();
String password = (String) authenticationToken.getCredentials();
UserDetails user = userDetailsService.loadUserByMobile(mobile);
if (user == null) {
throw new InternalAuthenticationServiceException("手機號或密碼錯誤");
}
if (!passwordEncoder.matches(password,user.getPassword())) {
throw new BadCredentialsException("手機號或密碼錯誤");
}
MobileAuthenticationToken authenticationResult = new MobileAuthenticationToken(user,password,user.getAuthorities());
authenticationResult.setDetails(authenticationToken.getDetails());
return authenticationResult;
}
@Override
public boolean supports(Class<?> authentication) {
return MobileAuthenticationToken.class.isAssignableFrom(authentication);
}
}
4.3. 建立 TokenGranter 實現類
建立 MobilePwdGranter 類並定義 grant_type 的值為 mobile_password
public class MobilePwdGranter extends AbstractTokenGranter {
private static final String GRANT_TYPE = "mobile_password";
private final AuthenticationManager authenticationManager;
public MobilePwdGranter(AuthenticationManager authenticationManager,AuthorizationServerTokenServices tokenServices,ClientDetailsService clientDetailsService,OAuth2RequestFactory requestFactory) {
super(tokenServices,clientDetailsService,requestFactory,GRANT_TYPE);
this.authenticationManager = authenticationManager;
}
@Override
protected OAuth2Authentication getOAuth2Authentication(ClientDetails client,TokenRequest tokenRequest) {
Map<String,String> parameters = new LinkedHashMap<>(tokenRequest.getRequestParameters());
String mobile = parameters.get("mobile");
String password = parameters.get("password");
parameters.remove("password");
Authentication userAuth = new MobileAuthenticationToken(mobile,password);
((AbstractAuthenticationToken) userAuth).setDetails(parameters);
userAuth = authenticationManager.authenticate(userAuth);
if (userAuth == null || !userAuth.isAuthenticated()) {
throw new InvalidGrantException("Could not authenticate mobile: " + mobile);
}
OAuth2Request storedOAuth2Request = getRequestFactory().createOAuth2Request(client,tokenRequest);
return new OAuth2Authentication(storedOAuth2Request,userAuth);
}
}
4.4. 加到 CompositeTokenGranter 中的集合裡
// 新增手機號加密碼授權模式 tokenGranters.add(new MobilePwdGranter(authenticationManager,tokenServices,requestFactory));
4.5. 測試
使用以下地址，指定 grant_type 為 mobile_password 進行授權獲取 access_token
/oauth/token?grant_type=mobile_password&mobile={mobile}&password={password}
五、參考樣例
詳細的程式碼實現可以參考
https://gitee.com/zlt2000/microservices-platform/tree/master/zlt-uaa
到此這篇關於Spring Security如何優雅的增加OAuth2協議授權模式的文章就介紹到這了,更多相關Spring Security OAuth2內容請搜尋我們以前的文章或繼續瀏覽下面的相關文章希望大家以後多多支援我們！