Spring Security 与 OAuth2（相关类参考）

喜欢ヅ旅行 2021-10-01 09:54 196阅读 0赞

## 个人 OAuth2 全部文章 ##

*  Spring Security 与 OAuth2（介绍）：[https://www.jianshu.com/p/68f22f9a00ee][https_www.jianshu.com_p_68f22f9a00ee]
 *  Spring Security 与 OAuth2（授权服务器）：[https://www.jianshu.com/p/227f7e7503cb][https_www.jianshu.com_p_227f7e7503cb]
 *  Spring Security 与 OAuth2（资源服务器）：[https://www.jianshu.com/p/6dd03375224d][https_www.jianshu.com_p_6dd03375224d]
 *  Spring Security 与 OAuth2（客户端）：[https://www.jianshu.com/p/03e515c2b43f][https_www.jianshu.com_p_03e515c2b43f]
 *  Spring Security 与 OAuth2（相关类参考）：[https://www.jianshu.com/p/c2395772bc86][https_www.jianshu.com_p_c2395772bc86]
 *  Spring Security 与 OAuth2（完整案例）：[https://www.jianshu.com/p/d80061e6d900][https_www.jianshu.com_p_d80061e6d900]

### AuthorizationServerConfigurerAdapter ###

*  通过继承该类并重写 configure 方法来配置授权服务器：
    
     *  configure(AuthorizationServerEndpointsConfigurer endpoints)：配置授权服务器端点，如令牌存储，令牌自定义，用户批准和授权类型，不包括端点安全配置
     *  configure(AuthorizationServerSecurityConfigurer oauthServer)：配置授权服务器端点的安全
     *  configure(ClientDetailsServiceConfigurer clients)：配置 ClientDetailsService 也就是客户端属性信息

### ResourceServerConfigurerAdapter ###

*  通过继承该类并重写 configure 方法来配置资源服务器：
    
     *  configure(org.springframework.security.config.annotation.web.builders.HttpSecurity http)：配置资源的访问规则
     *  configure(ResourceServerSecurityConfigurer resources)：添加资源服务器特定的属性（如资源ID），默认值适用于很多情况，但至少需要修改下ID

### TokenStore ###

*  OAuth2 Token（令牌）持久化接口，用于定义 Token 如何存储，它有几个实现类：
    
     *  InMemoryTokenStore：实现了在内存中存储令牌
     *  JdbcTokenStore：通过 JDBC 方式存储令牌
     *  JwtTokenStore：通过 JWT 方式存储令牌

### TokenEnhancer ###

*  可用于自定义令牌策略，在令牌被 AuthorizationServerTokenServices 的实现存储之前增强令牌的策略，它有两个实现类：
    
     *  JwtAccessTokenConverter：用于令牌 JWT 编码与解码
     *  TokenEnhancerChain：一个令牌链，可以存放多个令牌，并循环的遍历令牌并将结果传递给下一个令牌

### TokenEndpoint ###

*  该类根据 OAuth2 规范实现了令牌端点，客户端必须使用 Spring Security 身份验证来访问此端点，并从身份验证令牌客户端 ID，根据 OAuth2 规范，使用标准的 Spring Security 的 HTTP Basic 验证

### AuthorizationServerTokenServices ###

*  该接口定义了一些操作可以对令牌进行一些管理，包含了三个方法声明：
    
     *  createAccessToken(OAuth2Authentication authentication)：从 OAuth2Authentication 对象中创建令牌
     *  getAccessToken(OAuth2Authentication authentication)：从 OAuth2Authentication 对象中获取令牌
     *  refreshAccessToken(String refreshToken, TokenRequest tokenRequest)：刷新令牌

### OAuth2AuthenticationDetails ###

*  HTTP 请求中资源所有者（用户）相关的 OAuth2 Authentication（身份验证）信息，它可通过 SecurityContext 获得

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
    Object details = authentication.getDetails();

*  它有几个方法：
    
     *  getDecodedDetails()：
     *  getRemoteAddress()：Authentication（身份验证）请求的 TCP/IP 地址
     *  getSessionId()：Authentication（身份验证）请求的 SessionID
     *  getTokenValue()：请求中包含的的令牌信息（通常在请求头中）
     *  setDecodedDetails(Object decodedDetails)：设置令牌
     *  getDecodedDetails()：解码请求中包含的令牌
     *  getTokenType()：获取 Token 类型，例如 Bearer

### ResourceServerTokenServices ###

*  令牌业务类接口，它定义了两个方法：
    
     *  loadAuthentication(String accessToken)：加载 Authentication 验证信息
     *  readAccessToken(String accessToken)：读取令牌
 *  它有两个实现类：
    
     *  DefaultTokenServices：详情看下面
     *  RemoteTokenServices：通过访问授权服务器 /check\_token 端点来获取、解析令牌，如果端点返回 400 相应则表示该令牌无效

### DefaultTokenServices ###

*  该类主要实现了 ResourceServerTokenServices、AuthorizationServerTokenServices、ConsumerTokenServices 三个接口
 *  它包含了令牌业务的实现，如创建令牌、读取令牌、刷新令牌、撤销令牌、获取客户端ID。默认的当尝试创建一个令牌时，是使用 UUID 随机值进行填充的
 *  除了持久化令牌是委托一个 TokenStore 接口实现以外，这个类几乎帮你做了所有事情

### AuthorizationEndpoint ###

*  该类根据 OAuth2 规范实现了授权端点，如果授权类型是授权码模式，则处理用户批准，令牌是从令牌端点获得的，默认是支持除了密码授权外所有标准授权类型
 *  它使用 AuthorizationServerEndpointsConfigurer 该类实例对象来进行配置，它可配置以下属性：
    
     *  authenticationManager：认证管理器，当你选择了资源所有者密码（password）授权类型的时候，请设置这个属性注入一个 AuthenticationManager 对象
     *  userDetailsService：可定义自己的 UserDetailsService 接口实现
     *  authorizationCodeServices：用来设置收取码服务的（即 AuthorizationCodeServices 的实例对象），主要用于 "authorization\_code" 授权码类型模式
     *  implicitGrantService：这个属性用于设置隐式授权模式，用来管理隐式授权模式的状态
     *  tokenGranter：完全自定义授权服务实现（TokenGranter 接口实现），只有当标准的四种授权模式已无法满足需求时

### OAuth2AuthenticationProcessingFilter ###

*  OAuth2 受保护资源的预设认证过滤器，从请求中提取 OAuth2 令牌，并将令牌传入 OAuth2Authentication，（如果与OAuth2AuthenticationManager结合使用）传入Spring Security上下文

### ClientDetailsService ###

*  提供有关 OAuth2 客户端的详细信息的服务，该接口仅声明了一个方法：
    
     *  loadClientByClientId(String clientId)：通过客户端名字加载客户端详情
 *  它有两个实现类：
    
     *  InMemoryClientDetailsService：客户端详细信息服务的内存实现
     *  JdbcClientDetailsService：客户端详细信息服务的 JDBC 实现，它会从数据库中读取客户端详情

### AccessTokenConverter ###

*  令牌服务实现的转换器接口，用于将令牌数据存储在令牌中
 *  它有两个实现类：
    
     *  JwtAccessTokenConverter：用于令牌 JWT 编码与解码
     *  DefaultAccessTokenConverter：AccessTokenConverter 的默认实现

### OAuth2AccessToken ###

*  OAuth2 Token（令牌）实体类，包含了令牌、类型（Bearer）、失效时间等

### OAuth2ClientProperties ###

*  OAuth2 Client（客户端）属性配置实体类

### OAuth2ProtectedResourceDetails ###

*  OAuth2 受保护资源（资源服务器）的配置实体类

### AuthorizationServerProperties ###

*  OAuth2 Authentication（授权服务器）属性配置实体类

### ResourceServerProperties ###

*  OAuth2 为资源服务器配置提供了 ResourceServerProperties 类，该类会读取配置文件中对资源服务器得配置信息（如授权服务器公钥访问地址）

### ClientDetails ###

*  客户端详情接口，声明了获取客户端详情所需的一些方法，比如获取访问令牌失效时间、获取客户端权限、获取客户端 ID、获取客户端访问范围等方法

### AuthorizationServerProperties ###

*  OAuth2授权服务器的配置属性

[https_www.jianshu.com_p_68f22f9a00ee]: https://www.jianshu.com/p/68f22f9a00ee
[https_www.jianshu.com_p_227f7e7503cb]: https://www.jianshu.com/p/227f7e7503cb
[https_www.jianshu.com_p_6dd03375224d]: https://www.jianshu.com/p/6dd03375224d
[https_www.jianshu.com_p_03e515c2b43f]: https://www.jianshu.com/p/03e515c2b43f
[https_www.jianshu.com_p_c2395772bc86]: https://www.jianshu.com/p/c2395772bc86
[https_www.jianshu.com_p_d80061e6d900]: https://www.jianshu.com/p/d80061e6d900