当前位置：首页 > news >正文

Spring Cloud Security：Oauth2使用入门

news 2026/9/1 1:21:54

Spring Cloud Security 为构建安全的SpringBoot应用提供了一系列解决方案，结合Oauth2可以实现单点登录、令牌中继、令牌交换等功能，本文将对其结合Oauth2入门使用进行详细介绍。

1. OAuth2 简介

OAuth 2.0是用于授权的行业标准协议。OAuth 2.0为简化客户端开发提供了特定的授权流，包括Web应用、桌面应用、移动端应用等。

1.1. 相关名词

Resource owner（资源拥有者）：拥有该资源的最终用户，他有访问资源的账号密码；
Resource server（资源服务器）：拥有受保护资源的服务器，如果请求包含正确的访问令牌，可以访问资源；
Client（客户端）：访问资源的客户端，会使用访问令牌去获取资源服务器的资源，可以是浏览器、移动设备或者服务器；
Authorization server（认证服务器）：用于认证用户的服务器，如果客户端认证通过，发放访问资源服务器的令牌。

1.2. 四种授权模式

Authorization Code（授权码模式）：正宗的OAuth2的授权模式，客户端先将用户导向认证服务器，登录后获取授权码，然后进行授权，最后根据授权码获取访问令牌；
Implicit（简化模式）：和授权码模式相比，取消了获取授权码的过程，直接获取访问令牌；
Resource Owner Password Credentials（密码模式）：客户端直接向用户获取用户名和密码，之后向认证服务器获取访问令牌；
Client Credentials（客户端模式）：客户端直接通过客户端认证（比如client_id和client_secret）从认证服务器获取访问令牌。

其中常见的是授权码模式、密码模式；

授权码模式：
1. 客户端将用户导向认证服务器；
2. 用户在认证服务器进行登录并授权；
3. 认证服务器返回授权码给客户端；
4. 客户端通过授权码和跳转地址向认证服务器获取访问令牌；
5. 认证服务器发放访问令牌（有需要带上刷新令牌）。
密码模式：
1. 客户端从用户获取用户名和密码；
2. 客户端通过用户的用户名和密码访问认证服务器；
3. 认证服务器返回访问令牌（有需要带上刷新令牌）。

2. Oauth2的使用

2.1. 构建项目并添加pom文件

<dependency><groupId>org.springframework.cloud</groupId><artifactId>spring-cloud-starter-oauth2</artifactId><version>2.2.0.RELEASE</version></dependency><dependency><groupId>org.springframework.cloud</groupId><artifactId>spring-cloud-starter-security</artifactId><version>2.2.0.RELEASE</version></dependency>

2.2. 配置文件

server:port:9401spring:application:name:oauth2-service

2.3. 添加UserService

实现UserDetailsService接口，用于加载用户信息

@ServicepublicclassUserServiceimplementsUserDetailsService{privateList<User>userList;@AutowiredprivatePasswordEncoderpasswordEncoder;@PostConstructpublicvoidinitData(){Stringpassword=passwordEncoder.encode("123456");userList=newArrayList<>();userList.add(newUser("zhangSan",password,AuthorityUtils.commaSeparatedStringToAuthorityList("admin")));userList.add(newUser("liSi",password,AuthorityUtils.commaSeparatedStringToAuthorityList("client")));userList.add(newUser("pengyuyan",password,AuthorityUtils.commaSeparatedStringToAuthorityList("client")));}@OverridepublicUserDetailsloadUserByUsername(Stringusername)throwsUsernameNotFoundException{List<User>findUserList=userList.stream().filter(user->user.getUsername().equals(username)).collect(Collectors.toList());if(!CollectionUtils.isEmpty(findUserList)){returnfindUserList.get(0);}else{thrownewUsernameNotFoundException("用户名或密码错误");}}}

2.4. 认证服务器配置类

使用@EnableAuthorizationServer注解开启

@Configuration@EnableAuthorizationServerpublicclassAuthorizationServerConfigextendsAuthorizationServerConfigurerAdapter{@AutowiredprivatePasswordEncoderpasswordEncoder;@AutowiredprivateAuthenticationManagerauthenticationManager;@AutowiredprivateUserServiceuserService;/** * 使用密码模式需要配置 */@Overridepublicvoidconfigure(AuthorizationServerEndpointsConfigurerendpoints){endpoints.authenticationManager(authenticationManager).userDetailsService(userService);}@Overridepublicvoidconfigure(ClientDetailsServiceConfigurerclients)throwsException{clients.inMemory().withClient("admin")//配置client_id.secret(passwordEncoder.encode("admin123456"))//配置client_secret.accessTokenValiditySeconds(3600)//配置访问token的有效期.refreshTokenValiditySeconds(864000)//配置刷新token的有效期.redirectUris("http://www.baidu.com")//配置redirect_uri，用于授权成功后跳转.scopes("all")//配置申请的权限范围.authorizedGrantTypes("authorization_code","password");//配置grant_type，表示授权类型}}

2.5. 资源服务器配置类

使用@EnableResourceServer注解开启

@Configuration@EnableResourceServerpublicclassResourceServerConfigextendsResourceServerConfigurerAdapter{@Overridepublicvoidconfigure(HttpSecurityhttp)throwsException{http.authorizeRequests().anyRequest().authenticated().and().requestMatchers().antMatchers("/user/**");//配置需要保护的资源路径}}

2.6. SpringSecurity配置类

允许认证相关路径的访问及表单登录：

@Configuration@EnableWebSecuritypublicclassSecurityConfigextendsWebSecurityConfigurerAdapter{@BeanpublicPasswordEncoderpasswordEncoder(){returnnewBCryptPasswordEncoder();}@Bean@OverridepublicAuthenticationManagerauthenticationManagerBean()throwsException{returnsuper.authenticationManagerBean();}@Overridepublicvoidconfigure(HttpSecurityhttp)throwsException{http.csrf().disable().authorizeRequests().antMatchers("/oauth/**","/login/**","/logout/**").permitAll().anyRequest().authenticated().and().formLogin().permitAll();}}

2.7. 创建登录接口用于测试

@RestController@RequestMapping("/user")publicclassUserController{@GetMapping("/getCurrentUser")publicObjectgetCurrentUser(Authenticationauthentication){returnauthentication.getPrincipal();}}

2.8. 登录

2.8.1. 授权码模式使用

启动服务，在浏览器访问http://localhost:9401/oauth/authorize?response_type=code&client_id=admin&redirect_uri=http://www.baidu.com&scope=all&state=normal进行登录授权
输入账号密码进行登录操作：
登录后进行授权操作：
之后浏览器会带着授权码重定向到百度：https://www.baidu.com/?code=CKBS20&state=normal
使用授权码请求http://localhost:9401/oauth/token获取访问令牌
使用Basic认证通过client_id和client_secret（AuthorizationServerConfig类中做了默认配置）构造一个Authorization头信息；
在body中添加以下参数信息，通过POST请求获取访问令牌；
在下图接口请求头中添加访问令牌，发现已经可以成功访问。