OAuth 2.0 是一種工業級的授權協議。 OAuth 2.0是從創建於2006年的OAuth 1.0繼承而來的。 OAuth 2.0致力於幫助開發者簡化授權並為web應用、桌面應用、移動應用、嵌入式應用提供具體的授權流程。
OAuth 2.0 is the industry-standard protocol for authorization. OAuth 2.0 supersedes the work done on the original OAuth protocol created in 2006. OAuth 2.0 focuses on client developer simplicity while providing specific authorization flows for web applications, desktop applications, mobile phones, and living room devices.
OAuth 2.0的四個角色
為了方便理解，以常用的使用微信登錄為例
Resource Owner
資源擁有者，對應微信的每個用戶微信上設置的個人信息是屬於每個用戶的，不屬於騰訊。
Resource Server
資源服務器，一般就是用戶數據的一些操作（增刪改查）的REST API，比如微信的獲取用戶基本信息的接口。
Client Application
第三方客戶端，對比微信中就是各種微信公眾號開發的應用，第三方應用經過認證服務器授權後即可訪問資源服務器的REST API來獲取用戶的頭像、性別、地區等基本信息。
Authorization Server
認證服務器，驗證第三方客戶端是否合法。如果合法就給客戶端頒布token，第三方通過token來調用資源服務器的API。
四種授權方式（Grant Type）
anthorization_code
授權碼類型，適用於Web Server Application。模式為：客戶端先調用/oauth/authorize/ 進到用戶授權界面，用戶授權後返回code ，客戶端然後根據code和appSecret 獲取access token 。
implicit簡化類型，相對於授權碼類型少了授權碼獲取的步驟。客戶端應用授權後認證服務器會直接將access token放在客戶端的url。客戶端解析url獲取token。這種方式其實是不太安全的，可以通過https安全通道和縮短access token的有效時間來較少風險。
password
密碼類型，客戶端應用通過用戶的username和password獲access token。適用於資源服務器、認證服務器與客戶端具有完全的信任關係，因為要將用戶要將用戶的用戶名密碼直接發送給客戶端應用，客戶端應用通過用戶發送過來的用戶名密碼獲取token，然後訪問資源服務器資源。比如支付寶就可以直接用淘寶用戶名和密碼登錄，因為它們屬於同一家公司，彼此充分信任。
client_credentials
客戶端類型，是不需要用戶參與的一種方式，用於不同服務之間的對接。比如自己開發的應用程序要調用短信驗證碼服務商的服務，調用地圖服務商的服務、調用手機消息推送服務商的服務。當需要調用服務是可以直接使用服務商給的appID 和appSecret 來獲取token，得到token之後就可以直接調用服務。
其他概念
實現
有的時候資源服務器和認證服務器是兩個不同的應用，有的時候資源服務器和認證服務器在通一個應用中，不同之處在於資源服務器是否需要檢查token的有效性，前者需要檢查，後者不需要。這裡實現後者。
Application的安全配置
@Configurationpublic class SecurityConfiguration extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.formLogin() .and().csrf().disable() .authorizeRequests().anyRequest().authenticated(); } @Override public void configure(WebSecurity web) throws Exception { super.configure(web); } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.inMemoryAuthentication().withUser("lyt").password("lyt").authorities("ROLE_USER") .and().withUser("admin").password("admin").authorities("ROLE_ADMIN"); } @Bean @Override public AuthenticationManager authenticationManagerBean() throws Exception { return super.authenticationManagerBean(); }}認證服務器配置
@EnableAuthorizationServer@Configurationpublic class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter { @Override public void configure(ClientDetailsServiceConfigurer clients) throws Exception { clients.inMemory().withClient("client") .scopes("read","write") .secret("secret") .authorizedGrantTypes("authorization_code","password","implicit","client_credentials");} @Override public void configure(AuthorizationServerSecurityConfigurer security) throws Exception { super.configure(security); } @Override public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception { endpoints.authenticationManager(authenticationManager); } @Autowired @Qualifier("authenticationManagerBean") private AuthenticationManager authenticationManager;}資源服務器配置
@EnableGlobalMethodSecurity(prePostEnabled = true)@EnableResourceServer@Configurationpublic class ResourceServerConfiguration extends ResourceServerConfigurerAdapter { @Override public void configure(HttpSecurity http) throws Exception { http.antMatcher("/oauth2/api/**").authorizeRequests() .antMatchers(HttpMethod.GET, "/read/**").access("#oauth2.hasScope('read')") .antMatchers(HttpMethod.POST, "/write/**").access("#oauth2.hasScope('write')") .antMatchers(HttpMethod.PUT, "/write/**").access("#oauth2.hasScope('write')") .antMatchers(HttpMethod.DELETE, "/write/**").access("#oauth2.hasScope('write')"); }}資源服務器filter-order 設置
需要在application.yml 中將filter-order設置成3，具體原因參考鏈接
防止cookie衝突
為了避免認證服務器的cookie和客戶端的cookie衝突，出現錯誤，最好修改cookie name 或者設置contextPath 。
測試
postman 中提供OAuth 2.0的認證方式，可以獲取到token之後再把認證加入http請求中，即可請求資源服務器的REST API
客戶端信息
授權
獲取的token
訪問資源服務器API
以上就是本文的全部內容，希望對大家的學習有所幫助，也希望大家多多支持武林網。