《Spring Security实现OAuth2.0授权服务 - 基础版》和《Spring Security实现OAuth2.0授权服务 - 进阶版》两篇文章中介绍如何搭建OAuth2.0授权服务器和资源服务器。
本文将继续优化,将授权服务器和资源服务器分离,部署在不同的服务器上面。
一、简要说明
Spring Security OAuth2.0既可以把授权服务器(AuthorizationServer)和资源服务器(ResourceServer)配置在一个应用中,也可以分开配置。
授权服务器负责用户登录、授权、token验证等。
资源服务器负责提供受保护资源,只是需要到授权服务器进行token验证。
在此部分,将介绍以下内容:
- 如何将AuthorizationServer和ResourceServer分开配置,各司其职。
- 使用postman替换curl命令作为接口调用的工具。
- 依赖、实体类、工具类、DAO、Service、授权页、登录页等内容与上一部分没有区别,不再赘述,只记录需要修改的内容。
二、AuthorizationServer配置
在上一部分的代码(Spring Security实现OAuth2.0进阶)中抽取以下内容:
- 实体类。
- 登录页和授权页。
- DAO和Service层。
- Mybatis配置、Security配置和AuthorizationServerConfigurer配置。
需要修改一部分代码。
1、修改AuthorizationServerConfigurer配置
重写configure(AuthorizationServerSecurityConfigurer)方法,配置前来验证token的client需要拥有ROLE_TRUSTED_CLIENT角色。
@Configuration
public class Oauth2AuthorizationServerConfiguration extends
AuthorizationServerConfigurerAdapter { @Autowired
private UserDetailsService userDetailsService;
@Autowired
private DataSource dataSource; @Override
public void configure(AuthorizationServerSecurityConfigurer security)
throws Exception {
// 配置前来验证token的client需要拥有的角色
security.checkTokenAccess("hasAuthority('ROLE_TRUSTED_CLIENT')");
} @Override
public void configure(ClientDetailsServiceConfigurer clients)
throws Exception {
// 不变
} @Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints)
throws Exception {
// 不变
}
}
2、修改启动类
启动类删除@EnableResourceServer注解。
@SpringBootApplication
@EnableAuthorizationServer
@MapperScan("org.net5ijy.oauth2.repository")
public class Oauth2AuthorizationServer { public static void main(String[] args) { // args = new String[] { "--debug" }; SpringApplication.run(Oauth2AuthorizationServer.class, args);
}
}
三、ResourceServer配置
在上一部分的代码(Spring Security实现OAuth2.0进阶)中抽取以下内容:
- 响应工具类
- 受保护资源controller
1、配置Spring Security
@EnableWebSecurity
public class SecurityConfiguration extends WebSecurityConfigurerAdapter { @Override
protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests().antMatchers("/order/**").authenticated(); // 禁用CSRF
http.csrf().disable();
}
}
2、配置ResourceServerConfigurer
需要配置一个受信任的client到授权服务器验证token令牌。
@Configuration
public class Oauth2ResourceServerConfiguration extends ResourceServerConfigurerAdapter { private static final String URL = "http://localhost:7002/oauth/check_token"; @Override
public void configure(ResourceServerSecurityConfigurer resources)
throws Exception { RemoteTokenServices tokenService = new RemoteTokenServices();
tokenService.setCheckTokenEndpointUrl(URL);
tokenService.setClientId("net5ijy");
tokenService.setClientSecret("12345678"); resources.tokenServices(tokenService);
}
}
3、修改启动类
启动类删除@EnableAuthorizationServer注解。
@SpringBootApplication
@EnableResourceServer
public class Oauth2ResourceServer { public static void main(String[] args) {
SpringApplication.run(Oauth2ResourceServer.class, args);
}
}
四、测试授权码模式
首先启动授权服务器,再启动资源服务器。
1、获取authorization_code授权码
使用浏览器访问:
http://localhost:7002/oauth/authorize?response_type=code&client_id=tencent&redirect_uri=http://localhost:8080&scope=all
地址
http://localhost:7002/oauth/authorize
参数
response_type |
code |
client_id |
根据实际的client-id填写,此处写tencent |
redirect_uri |
生成code后的回调地址,http://localhost:8080 |
scope |
权限范围 |
登录,admin002和123456
允许授权
看到浏览器重定向到了http://localhost:8080并携带了code参数,这个code就是授权服务器生成的授权码
2、获取token令牌
地址
http://localhost:7002/oauth/token
参数
grant_type |
授权码模式,写authorization_code |
scope |
权限范围 |
redirect_uri |
回调地址,http://localhost:8080需要urlencode |
code |
就是上一步生成的授权码 |
使用postman获取token令牌。
返回值
{
"access_token": "e50a400c-439f-4df0-95d5-79154d2cbf87",
"token_type": "bearer",
"refresh_token": "29ac936f-69ef-4356-91b1-775fbec65805",
"expires_in": 3599,
"scope": "all"
}
这样就获取到了token令牌,该token的访问权限范围是all权限,在1小时后失效。
3、使用token访问资源
http://localhost:7003/order/demo?access_token=e50a400c-439f-4df0-95d5-79154d2cbf87