2. 程式人生 > >Spring Security OAuth2 第三方登入（一）之流程說明

Spring Security OAuth2 第三方登入（一）之流程說明

阿新 • • 發佈：2019-01-12

SpringBoot第三方登入流程

在這裡插入圖片描述

OAuth2AuthenticationService

該類執行獲取code，token，建立connection，由SocailAuthenticationFilter呼叫

public class OAuth2AuthenticationService<S> extends AbstractSocialAuthenticationService<S> {

public SocialAuthenticationToken getAuthToken(HttpServletRequest request,
 
 HttpServletResponse response) throws SocialAuthenticationRedirectException {
        String code = request.getParameter("code");
        if (!StringUtils.hasText(code)) {
            OAuth2Parameters params = new OAuth2Parameters();
            //拼接redirectUrl
            params.setRedirectUri(this.buildReturnToUrl
 
(request));
            this.setScope(request, params);
            params.add("state", this.generateState(this.connectionFactory, request));
            this.addCustomParameters(params);
            throw new SocialAuthenticationRedirectException(this.getConnectionFactory().getOAuthOperations().buildAuthenticateUrl
 
(params));
        } else if (StringUtils.hasText(code)) {
            try {
                String returnToUrl = this.buildReturnToUrl(request);
                //獲取token，並返回AccessGrant
                AccessGrant accessGrant = this.getConnectionFactory().getOAuthOperations().exchangeForAccess(code, returnToUrl, (MultiValueMap)null);
                //建立connection
                Connection<S> connection = this.getConnectionFactory().createConnection(accessGrant);
                return new SocialAuthenticationToken(connection, (Map)null);
            } catch (RestClientException var7) {
                this.logger.debug("failed to exchange for access", var7);
                return null;
            }
        } else {
            return null;
        }
    }

}

SocialConfigurerAdapter

為第三方登入新增一些元件到容器，比如SpringSocialConfigurer（只是新增到容器中，需在WebSecurityConfigurerAdapter應用才可生效），JdbcUsersConnectionRepository等

  • 新增Filter
    SpringSecurity在新增驗證時都是通過在其FilterChain上新增Filter來實現，第三方登入需要配置的是AutenticationFilter
    程式碼演示
@Configuration
@EnableSocial
public class SocialConfig extends SocialConfigurerAdapter {

    @Autowired
    DataSource dataSource;
    @Autowired
    SecurityProperties securityProperties;
    @Override
    public UsersConnectionRepository getUsersConnectionRepository(ConnectionFactoryLocator connectionFactoryLocator) {
        return new JdbcUsersConnectionRepository(dataSource, connectionFactoryLocator, Encryptors.noOpText());
    }
    
    //配置將 SpringSocialConfigurer新增到容器中， 
    //SpringSocialConfigurer的構造方法會在FilterChain上新增AutenticationFilter
    //配置自定義SpringSocialConfigurer，需要在
    @Bean
    public SpringSocialConfigurer imoocSocialSecurityConfig(){
        String filterProcessesUrl = securityProperties.getSocial().getFilterProcessesUrl();

        SpringSocialConfigurer springSocialConfigurer = new ImoocSpringSocialConfigurer(filterProcessesUrl);
        return springSocialConfigurer;
    }
}
  • SpringSocialConfigurer

該類為SpringSecurity filterchain上新增SocialAuthenticationFilter，需要在WebSecurityConfigurerAdapter上應用

public void configure(HttpSecurity http) throws Exception {
        ApplicationContext applicationContext = (ApplicationContext)http.getSharedObject(ApplicationContext.class);
        UsersConnectionRepository usersConnectionRepository = (UsersConnectionRepository)this.getDependency(applicationContext, UsersConnectionRepository.class);
        SocialAuthenticationServiceLocator authServiceLocator = (SocialAuthenticationServiceLocator)this.getDependency(applicationContext, SocialAuthenticationServiceLocator.class);
        SocialUserDetailsService socialUsersDetailsService = (SocialUserDetailsService)this.getDependency(applicationContext, SocialUserDetailsService.class);
        //filter
        SocialAuthenticationFilter filter = new SocialAuthenticationFilter((AuthenticationManager)http.getSharedObject(AuthenticationManager.class), (UserIdSource)(this.userIdSource != null ? this.userIdSource : new AuthenticationNameUserIdSource()), usersConnectionRepository, authServiceLocator);
//.......
http.authenticationProvider(new SocialAuthenticationProvider(usersConnectionRepository, socialUsersDetailsService))
//新增filter，可重寫**postProcess**方法定製filter
.addFilterBefore((Filter)this.postProcess(filter), AbstractPreAuthenticatedProcessingFilter.class);
}
  • WebSecurityConfigurerAdapter

配置SpringSecurity，包括新增filter，定義攔截路徑等

 @Override
    protected void configure(HttpSecurity http) throws Exception {
        validetCodeFilter.setAuthenticationFailureHandler(imoocAuthenticationFailureHandler);
        validetCodeFilter.setSecurityProperties(securityProperties);
        validetCodeFilter.afterPropertiesSet();
        log.info("authentication");

        http.addFilterBefore(validetCodeFilter, UsernamePasswordAuthenticationFilter.class)
            .formLogin()
            .loginPage("/authentication/requrie")
            .loginProcessingUrl("/authentication/form")
            .successHandler(imoocAuthenticationSuccessHandler)
            .failureHandler(imoocAuthenticationFailureHandler)
                .and()
                //**應用SpringSocialConfigurer**
            .apply(imoocSocialSecurityConfig)
                .and()
            .authorizeRequests()
            .antMatchers("/authentication/requrie","/code/image","/login",securityProperties.getBrowser().getLoginPage()).permitAll()
            .anyRequest()
            .authenticated()
                .and()
            .csrf().disable();
    }
  • 配置SocialConfigurerAdapter
    （可以配置多個，若不重寫getUsersConnectionRepository（）方法會直接呼叫父類方法）
    SocialConfigurerAdapter為配置類，直接新增到容器中即可，可以為容器新增ConnectionFactory和UsersConnectionRepository等
@Configuration
@ConfigurationProperties(prefix = "imooc.sercurity.social.qq", value = "appId")
public class QQAutoConfig extends SocialConfigurerAdapter {

    @Autowired
    private SecurityProperties securityProperties;
    //自動配置
    @Override
    public void addConnectionFactories(ConnectionFactoryConfigurer connectionFactoryConfigurer, Environment environment) {
        connectionFactoryConfigurer.addConnectionFactory(creatConnectionFactroy());
    }

    @Override
    public UserIdSource getUserIdSource() {
        return super.getUserIdSource();
    }
    //專案中返回為null，UsersConnectionRepository是配置在另一個SocialConfigurerAdapter中的，因為第三方登入可以為多個，而UsersConnectionRepository只需要一個
    @Override
    public UsersConnectionRepository getUsersConnectionRepository(ConnectionFactoryLocator connectionFactoryLocator) {
        return new JdbcUsersConnectionRepository(dataSource, connectionFactoryLocator, Encryptors.noOpText());
    }

    private ConnectionFactory<?> creatConnectionFactroy(){
        QQProperties qq =securityProperties.getSocial().getQq();
        return new QQConnectionFactroy(qq.getProviderId(),qq.getAppId(),qq.getAppSecret());
    }
}

ConnectionFactroy（OAuth2ConnectionFactory<?>）
其父類構造方法引數：
String providerId 第三方應用id，由自己定義，最好設計為可配置的，請求URI與之有關
QQServiceProvidor(String， String) 其兩個引數為申請的appId，和appSecret
QQAdapter api介面卡， 將第三方返回的資料轉為springSecurity規範的資料，然後通過JdbcUsersConnectionRepository存入資料庫

public class QQConnectionFactroy extends OAuth2ConnectionFactory<QQ> {

    public QQConnectionFactroy(String providerId, String appId, String appSecret) {
        super(providerId, new QQServiceProvidor(appId, appSecret), new QQAdapter());
    }
}
  • QQServiceProvidor

包含兩個類（換句話說可以獲得兩個關鍵類）
QQOAuth2Template(appId, appSecret, URL_AUTHORIZE, URL_ACCESS_TOKNE))
QQImpl(accessToken, appId) api的實現

public class QQServiceProvidor extends AbstractOAuth2ServiceProvider<QQ> {
  //定義了獲取Code和Token的url
    private static final String URL_AUTHORIZE = "https://graph.qq.com/oauth2.0/authorize";
    private static final String URL_ACCESS_TOKNE ="https://graph.qq.com/oauth2.0/token";

    private String appId;

    public QQServiceProvidor(String appId, String appSecret) {
        super(new QQOAuth2Template(appId, appSecret, URL_AUTHORIZE, URL_ACCESS_TOKNE));
        this.appId = appId;
    }

    @Override
    public QQ getApi(String accessToken) {
        return new QQImpl(accessToken, appId);
    }


}
  • QQOAuth2Template()

用於完成OAuth2協議的獲取Code和token

public class OAuth2Template implements OAuth2Operations {
private final String clientId;
    private final String clientSecret;
    private final String accessTokenUrl;
    private final String authorizeUrl;
    private String authenticateUrl;
    //需要注意的是
    private RestTemplate restTemplate;
    private boolean useParametersForClientAuthentication;
public OAuth2Template(String clientId, String clientSecret, String authorizeUrl, String accessTokenUrl) {
        this(clientId, clientSecret, authorizeUrl, (String)null, accessTokenUrl);
    }
//構造器中為clientId（appId），clientSecret，authorizeurl（獲取code的url），accessTokenUrl（獲取Token的url），均有ServiceProvider賦值
    public OAuth2Template(String clientId, String clientSecret, String authorizeUrl, String authenticateUrl, String accessTokenUrl) {
        Assert.notNull(clientId, "The clientId property cannot be null");
        Assert.notNull(clientSecret, "The clientSecret property cannot be null");
        Assert.notNull(authorizeUrl, "The authorizeUrl property cannot be null");
        Assert.notNull(accessTokenUrl, "The accessTokenUrl property cannot be null");
        this.clientId = clientId;
        this.clientSecret = clientSecret;
        String clientInfo = "?client_id=" + this.formEncode(clientId);
        //拼接獲取code的url，為url新增encode後的appid引數，
        //若重寫方法沒有拼接需要重寫方法buildAuthenticateUrl()
        this.authorizeUrl = authorizeUrl + clientInfo;
        if (authenticateUrl != null) {
            this.authenticateUrl = authenticateUrl + clientInfo;
        } else {
            this.authenticateUrl = null;
        }

        this.accessTokenUrl = accessTokenUrl;
    }

//
public String buildAuthenticateUrl(OAuth2Parameters parameters) {
        return this.authenticateUrl != null ? this.buildAuthUrl(this.authenticateUrl, GrantType.AUTHORIZATION_CODE, parameters) : this.buildAuthorizeUrl(GrantType.AUTHORIZATION_CODE, parameters);
    }

protected RestTemplate createRestTemplate() {
        ClientHttpRequestFactory requestFactory = ClientHttpRequestFactorySelector.getRequestFactory();
        RestTemplate restTemplate = new RestTemplate(requestFactory);
        List<HttpMessageConverter<?>> converters = new ArrayList(2);
       //未新增StringHttpMessageConverter，不能處理text/html 
       //若需要處理則需要重寫該方法，為RestTemplate新增上
        converters.add(new FormHttpMessageConverter());
        converters.add(new FormMapHttpMessageConverter());
        converters.add(new MappingJackson2HttpMessageConverter());
        //注意restTemplate呼叫該方法會將其構造方法新增converter去除，然後新增
        restTemplate.setMessageConverters(converters);
        
        restTemplate.setErrorHandler(new LoggingErrorHandler());
        if (!this.useParametersForClientAuthentication) {
            List<ClientHttpRequestInterceptor> interceptors = restTemplate.getInterceptors();
            if (interceptors == null) {
                interceptors = new ArrayList();
                restTemplate.setInterceptors((List)interceptors);
            }

            ((List)interceptors).add(new PreemptiveBasicAuthClientHttpRequestInterceptor(this.clientId, this.clientSecret));
        }

        return restTemplate;
    }
}
  • AbstractOAuth2ApiBinding
    該類定義了獲取第三方資訊的一些公用方法和屬性（如RestTemplate），需要被實現其構造方法，本例為QQImp
@Slf4j
public class QQImpl extends AbstractOAuth2ApiBinding implements QQ {

    private static final String URL_GET_OPENID = "https://graph.qq.com/oauth2.0/me?access_token=%s";

    private static final String URL_GET_USERINFO = "https://graph.qq.com/user/get_user_info?oauth_consumer_key=%s&openid=%s";

    private String appId;

    private String openId;

    private ObjectMapper objectMapper = new ObjectMapper();

    public QQImpl(String accessToken, String appId){
        //呼叫父類構造方法，設定預設屬性，即在RestTemplate傳送請求是在請求url中加上accessToken
        super(accessToken, TokenStrategy.ACCESS_TOKEN_PARAMETER);
        this.appId = appId;
        String url = String.format(URL_GET_OPENID, accessToken);
        String result = getRestTemplate().getForObject(url, String.class);
        this.openId = StringUtils.substringBetween(result,"\"openid\":","}");
        log.info(result);
    }

    @Override
    public QQUserInfo getQQUserInfo(){
        String url = String.format(URL_GET_USERINFO, appId, openId);
        String result = getRestTemplate().getForObject(url, String.class);

        try {
            QQUserInfo qqUserInfo = objectMapper.readValue(result, QQUserInfo.class);
            qqUserInfo.setOpenId(openId);
            return qqUserInfo;
        } catch (IOException e) {
            throw new RuntimeException("獲取使用者資訊失敗", e);
        }
    }
}
  • OAuth2ConnectionFactory
    建立connection
    獲取ServiceProvier，實現獲取code和Token
    獲取ApiAdapter，實現通過Api獲取第三方應用資訊與connection匹配
public class QQConnectionFactroy extends OAuth2ConnectionFactory<QQ> {

    public QQConnectionFactroy(String providerId, String appId, String appSecret) {
        super(providerId, new QQServiceProvidor(appId, appSecret), new QQAdapter());
    }
}

相關推薦

Spring Security OAuth2 第三方登入（一）之流程說明

SpringBoot第三方登入流程 OAuth2AuthenticationService 該類執行獲取code，token，建立connection，由SocailAuthenticationFilter呼叫 public class OAuth2Authenticati

Android開發技巧之：QQ第三方登入（一）

使用的是Android_SDK_V2.9.1，建議使用最新版； 官方下載：SDK下載  Android studio 中新增到 然後在點選build.gradle檔案新增 配置AndroidManifest 在應用的Andr

Spring Security實現後臺管理員登入（一）

一、實現功能 二、資料表設計 為了測試方便，這裡建立一個簡單的資料表，只含有name和password兩個欄位。至於角色，許可權等，這裡都先不考慮。 插入一條資料，name為admin，password為e10adc3949ba59abbe56e057f20f883e（

【SSH進階之路】Struts + Spring + Hibernate 進階開端（一）

height 一段 ioc 效率 陽光大道 面向對象的思想 text ase 們的 Long Long ago。就聽說過SSH。起初還以為是一個東東，詳細內容更是不詳，總認為高端大氣上檔次，經過學習之後才發現，不不過高大上，更是低調奢華有內涵，經過一段時間的

Spring源碼深度解析（一）

聯盟 容器 代碼 beans 管理 servle text spring框架 講解 　　Spring整體架構分為以下幾部分： 　　　　1.Core模塊：包含Spring框架的基本核心工具類，Spring其它組件都要使用到這個包中的類，Core模塊是其它組件的基本核心。 　　

Struts2+Spring+Hibernate實現員工管理增刪改查功能（一）之ssh框架整合

pri support scrip ext ack efault ring src 兩張 前言 轉載請標明出處：http://www.cnblogs.com/smfx1314/p/7795837.html 本項目是我寫的一個練習，目的是回顧ssh框架的整合以及

Spring Data Redis整體介紹 （一）

目前 擴展 刪除 依據 實例化 -m doc 不同的 SDR 為什麽使用Spring Data Redis 首先Spring Data Redis 是Spring 框架提供的用於操作Redis的客戶端。 Spring框架是一個全棧Java程序框架，通過DI、AOP和便攜的服

spring-data-jpa快速入門（一）——

快速 span ron blank support bubuko body lan -s 一、概述 　　官網：https://projects.spring.io/spring-data-jpa/ 　　1.什麽是spring-data-jpa 　　Spring D

spring cloud實戰與思考（一） spring config全局配置方案設計

功能 IE 基於 比較 此外 fig eureka 搜索 地址 “spring cloud”的配置中心工具“spring cloud config”提供了分布式系統配置文件集中管理解決方案。該工具功能強大，實現也很簡單。網上可以搜索到很多開發教程和用例。本文並不是分享“

【Java】 Spring 框架初步學習總結（一）簡單實現 IoC 和 AOP

1.0 其中 表示 只需要 第一篇 否則 info fin pojo 　　Spring 是一個開源的設計層面的輕量級框架，Spring 的好處網上有太多，這裏就不在贅述。 　　IoC 控制反轉和 AOP 面向切面編程是 Spring 的兩個重要特性。 　　IoC（Inver

Spring Boot2.0學習筆記（一）

target uil pom true framework build 項目 組件 文件 1、Spring Boot項目啟動方式 （1）主程序啟動 @SpringBootApplication public class HelloApplication { pu

04 Spring框架 依賴註入（一）

ride sts 版權 div () 序號 哪些 成功 computer 上一節我們講了幾個bean的一些屬性，用來限制我們實例創建過後的狀態。 但是細心的我們會發現其實上面demo創建的實例並不完整，對象創建出來過後只有一個方法，而沒有包含其他信息（如屬性）。 之前我

Spring Security OAuth2 授權失敗（401 問題整理

控制 默認 pub available cli npr href sta -s Spring Cloud架構中采用Spring Security OAuth2作為權限控制，關於OAuth2詳細介紹可以參考 http://www.ruanyifeng.com/blo

Spring整合Struts2和Hibernate+Maven（一）之Maven專案建立

趁著畢設的功夫，寫一些東西。也算是記錄個人平時畢設完成的過程。 建立專案 工具：intellij idea+JDK1.6+Maven 第一步：New Project ->點選左側maven ->勾選Create fromarchetype 後選擇maven-archet

三種例項化bean方式——Spring對bean的管理（一）

三種例項化bean方式——Spring對bean的管理（一） Spring容器提供了三種對bean的例項化方式： 1）構造器例項化 2）靜態工廠方法例項化 3）例項工廠方法是例項化 構造方法例項化 先建一個Demo實體類 public class Demo { p

Spring事務管理機制入門（一）

黑馬程式設計師Spring事務管理機制視訊學習筆記，視訊教程的內容用來入門，為了深入掌握，後面會對學習的內容進行原始碼解析、設計思想剖析、事務的本質的探索、對生活和人生的啟示一一道來，爭取做到，學就要學透，不要為了學習而學習。   Spring事務管理機制 主要內容：

Android開發技巧之：QQ第三方登入（二）

接 android QQ第三方登入（一）  獲取登入使用者名稱資訊，這邊先抱怨一下，官方API有點坑 Constants原始碼類下就是找不到GRAPH_SIMPLE_USER_INFO這個屬性！無語！ 根據官方提供返回的的JSONObject資訊解析：

初始Spring Boot框架筆記整理（一）

“約定大於配置” 特點 編輯 1. 建立獨立的Spring應用程式 2. 嵌入的Tomcat，無需部署WAR檔案 3. 簡化Maven配置 4. 自動配置Spring 5. 提供生產就緒型功能，如指標，健康檢查和外部配置

spring boot 整合 jpa （一） -- 之基礎配置

spring boot 整合 jpa （二） – 之資料操作 https://blog.csdn.net/qq_41463655/article/details/82939560 spring boot 整合 jpa （三） – 之表關係對映 https://blog.csdn.ne

spring-boot-admin原始碼分析及單機監控spring-boot-monitor的實現（一）

SpringBootMonitor spring-boot-admin原始碼分析及單機監控spring-boot-monitor的實現（一） spring-boot-admin原始碼分析及單機監控spring-boot-monitor的實現（二） spring-boot-ad