Spring Security Oauth2 认证流程

待我称王封你为后i 2022-09-11 05:17 720阅读 0赞

### spring security Oauth2 认证流程 ###

*  一、应用场景
 *  二、名词定义
 *   *  1、OAuth定义了四个角色
     *  2、模式
     *  3、基础参数定义
 *  三、认证核心流程
 *   *  3.1、获取token的主要流程
     *  3.2、刷新token（refresh token）的流程
 *  四、获取token的详细流程（源码跟踪）
 *   *  1、授权请求入口
     *  2、配置完授权服务器后，BasicAuthenticationFilter过滤器拦截请求进入授权流程
     *  3、BasicAuthenticationConverter把请求转换为UsernamePasswordAuthenticationToken
     *  4、AuthenticationManager的实现类ProviderManager进行授权
     *  5、根据client\_id从数据库中查询签权认证信息
     *  6、验证签权是否有效，是否过期，是否被锁
     *  7、验证密码
     *  8、签权完成，设置到上下文中。
     *  9、进入到TokenEndpoint 生成token
     *  10、 验证Scope范围
     *  11、匹配授权类型，本文是密码授权。
     *  12、进入密码模式授权ResourceOwnerPasswordTokenGranter
     *  13、请求资源服务器授权，从资源服务器拿到可以访问的资源
     *  14、创建AccessToken
     *  15、创建 token
     *  16、存储在redis
     *  17、把refreshToken也保存在redis中
     *  18、推送成功授权消息
 *  五、认证签权详细流程
 *   *  1、资源服务器入口：OAuth2AuthenticationProcessingFilter
     *  2、调用授权服务进行认证
     *  3、授权服务器是如何根据token签权授权的？

# 一、应用场景 #

以下文字引用自：[阮一峰的网络日志][Link 1]  
为了理解OAuth的适用场合，让我举一个假设的例子。  
有一个"云冲印"的网站，可以将用户储存在Google的照片，冲印出来。用户为了使用该服务，必须让"云冲印"读取自己储存在Google上的照片。问题是只有得到用户的授权，Google才会同意"云冲印"读取这些照片。那么，“云冲印"怎样获得用户的授权呢？传统方法是，用户将自己的Google用户名和密码，告诉"云冲印”，后者就可以读取用户的照片了。这样的做法有以下几个严重的缺点。  
（1）"云冲印"为了后续的服务，会保存用户的密码，这样很不安全。  
（2）Google不得不部署密码登录，而我们知道，单纯的密码登录并不安全。  
（3）"云冲印"拥有了获取用户储存在Google所有资料的权力，用户没法限制"云冲印"获得授权的范围和有效期。  
（4）用户只有修改密码，才能收回赋予"云冲印"的权力。但是这样做，会使得其他所有获得用户授权的第三方应用程序全部失效。  
（5）只要有一个第三方应用程序被破解，就会导致用户密码泄漏，以及所有被密码保护的数据泄漏。

OAuth就是为了解决上面这些问题而诞生的。

# 二、名词定义 #

## 1、OAuth定义了四个角色 ##

**资 源 所 有 者 \\color\{red\}\{资源所有者\} 资源所有者**  
一个能够授权访问受保护资源的实体。当资源所有者是一个人时，它被称为最终用户。  
 **资 源 服 务 器 \\color\{red\}\{资源服务器\} 资源服务器**  
托管受保护资源的服务器能够使用访问令牌接受和响应受保护的资源请求。  
 **客 户 \\color\{red\}\{客户\} 客户**  
代表资源所有者及其授权的应用程序进行受保护的资源请求。术语客户端并不意味着任何特定的实现特征（例如，应用程序是在服务器，台式机还是其他设备上执行的）。  
 **授 权 服 务 器 \\color\{red\}\{授权服务器\} 授权服务器**  
服务器在成功认证资源所有者并获得授权后向客户端发放访问令牌。

## 2、模式 ##

oauth2根据使用场景不同，分成了4种模式  
● 客户端模式（client credentials）  
● 密码模式（resource owner password credentials）  
● 授权码模式（authorization code）  
● 简化模式（implicit）

## 3、基础参数定义 ##

grant\_type （发放令牌类型）、  
client\_id (客户端标识id)  
username（用户帐号）  
password （用户密码）  
client\_secret（客户端标识密钥）  
refresh\_token （刷新令牌）  
scope（表示权限范围，可选项）

# 三、认证核心流程 #

## 3.1、获取token的主要流程 ##

1.  用户发起获取token的请求。
2.  过滤器会验证path是否是认证的请求/oauth/token，如果为false，则直接返回没有后续操作。
3.  过滤器通过clientId查询生成一个Authentication对象。
4.  然后会通过username和生成的Authentication对象生成一个UserDetails对象，并检查用户是否存在。
5.  以上全部通过会进入地址/oauth/token，即TokenEndpoint的postAccessToken方法中。
6.  postAccessToken方法中会验证Scope，然后验证是否是refreshToken请求等。
7.  之后调用AbstractTokenGranter中的grant方法。
8.  grant方法中调用AbstractUserDetailsAuthenticationProvider的authenticate方法，通过username和Authentication对象来检索用户是否存在。
9.  然后通过DefaultTokenServices类从tokenStore中获取OAuth2AccessToken对象。
10. 然后将OAuth2AccessToken对象包装进响应流返回。

## 3.2、刷新token（refresh token）的流程 ##

刷新token（refresh token）的流程与获取token的流程只有⑨有所区别：

*  获取token调用的是AbstractTokenGranter中的getAccessToken方法，然后调用tokenStore中的getAccessToken方法获取token。
 *  刷新token调用的是RefreshTokenGranter中的getAccessToken方法，然后使用tokenStore中的refreshAccessToken方法获取token。

# 四、获取token的详细流程（源码跟踪） #

## 1、授权请求入口 ##

前端页面把用户名和密码写成这种格式pig:pig，并用md5加密转换成字符串并拼接上 Basic 写在header上（注：这是自己写的登录页面）  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16]

## 2、配置完授权服务器后，BasicAuthenticationFilter过滤器拦截请求进入授权流程 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 1]

## 3、BasicAuthenticationConverter把请求转换为UsernamePasswordAuthenticationToken ##

![在这里插入图片描述][69c3c52c95fa428dbdeb1db2605744fe.png]base64转码成pig:pig![在这里插入图片描述][e546d56db27e4f21ad7d41c471beac7d.png]  
构造出UsernamePasswordAuthenticationToken  
![在这里插入图片描述][d80756dac29149a182e72d1a46c18036.png]

## 4、AuthenticationManager的实现类ProviderManager进行授权 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 2]  
该类包含两个AuthenticationProvider，通过条件判断，进入到DaoAuthenticationProvider的authenticate方法。  
![在这里插入图片描述][53dd14769b7e4662b34d70f78364dde8.png]

## 5、根据client\_id从数据库中查询签权认证信息 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 3]对应的SQL为：

SELECT	client_id,
    	CONCAT( '{noop}', client_secret ) AS client_secret,
    	resource_ids,
    	scope,
    	authorized_grant_types,
    	web_server_redirect_uri,
    	authorities,
    	access_token_validity,
    	refresh_token_validity,
    	additional_information,
    	autoapprove 
    FROM
    	sys_oauth_client_details 
    WHERE
    	client_id = ?

通过继承org.springframework.security.oauth2.provider.client.JdbcClientDetailsService类封装了一层缓存。

public class MyClientDetailsService extends JdbcClientDetailsService { 
    
    	public MyClientDetailsService(DataSource dataSource) { 
    		super(dataSource);
    	}
    
    	/** * 重写原生方法支持redis缓存 * @param clientId * @return */
    	@Override
    	@SneakyThrows
    	@Cacheable(value = CacheConstants.CLIENT_DETAILS_KEY, key = "#clientId", unless = "#result == null")
    	public ClientDetails loadClientByClientId(String clientId) { 
    		return super.loadClientByClientId(clientId);
    	}

## 6、验证签权是否有效，是否过期，是否被锁 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 4]

## 7、验证密码 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 5]

## 8、签权完成，设置到上下文中。 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 6]

## 9、进入到TokenEndpoint 生成token ##

@RequestMapping(value = "/oauth/token", method=RequestMethod.POST)
    	public ResponseEntity<OAuth2AccessToken> postAccessToken(Principal principal, @RequestParam
    	Map<String, String> parameters) throws HttpRequestMethodNotSupportedException { 
    
    		if (!(principal instanceof Authentication)) { 
    			throw new InsufficientAuthenticationException(
    					"There is no client authentication. Try adding an appropriate authentication filter.");
    		}
    
    		String clientId = getClientId(principal);

## 10、 验证Scope范围 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 7]

## 11、匹配授权类型，本文是密码授权。 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 8]

## 12、进入密码模式授权ResourceOwnerPasswordTokenGranter ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 9]

## 13、请求资源服务器授权，从资源服务器拿到可以访问的资源 ##

public class MyUserDetailsServiceImpl implements UserDetailsService { 
    //省略无关代码
    @Override
    	@SneakyThrows
    	public UserDetails loadUserByUsername(String username) { 
    		Cache cache = cacheManager.getCache(CacheConstants.USER_DETAILS);
    		if (cache != null && cache.get(username) != null) { 
    			return (PigUser) cache.get(username).get();
    		}
    
    		R<UserInfo> result = remoteUserService.info(username, SecurityConstants.FROM_IN);
    		UserDetails userDetails = getUserDetails(result);
    		if (cache != null) { 
    			cache.put(username, userDetails);
    		}
    		return userDetails;
    	}
    }
    
    //资源服务器feign接口
    @FeignClient(contextId = "remoteUserService", value = ServiceNameConstants.UMPS_SERVICE,
    		fallbackFactory = RemoteUserServiceFallbackFactory.class)
    public interface RemoteUserService { 
    
    	@GetMapping("/user/info/{username}")
    	R<UserInfo> info(@PathVariable("username") String username, @RequestHeader(SecurityConstants.FROM) String from);
    
    	@GetMapping("/social/info/{inStr}")
    	R<UserInfo> social(@PathVariable("inStr") String inStr);
    
    }

## 14、创建AccessToken ##

DefaultTokenServices.java
    @Transactional
    	public OAuth2AccessToken createAccessToken(OAuth2Authentication authentication) throws AuthenticationException { 
    
    		OAuth2AccessToken existingAccessToken = tokenStore.getAccessToken(authentication);
    		OAuth2RefreshToken refreshToken = null;
    		if (existingAccessToken != null) { 
    			if (existingAccessToken.isExpired()) { 
    				if (existingAccessToken.getRefreshToken() != null) { 
    					refreshToken = existingAccessToken.getRefreshToken();
    					// The token store could remove the refresh token when the
    					// access token is removed, but we want to
    					// be sure...
    					tokenStore.removeRefreshToken(refreshToken);
    				}
    				tokenStore.removeAccessToken(existingAccessToken);
    			}
    			else { 
    				// Re-store the access token in case the authentication has changed
    				tokenStore.storeAccessToken(existingAccessToken, authentication);
    				return existingAccessToken;
    			}
    		}
    
    		// Only create a new refresh token if there wasn't an existing one
    		// associated with an expired access token.
    		// Clients might be holding existing refresh tokens, so we re-use it in
    		// the case that the old access token
    		// expired.
    		if (refreshToken == null) { 
    			refreshToken = createRefreshToken(authentication);
    		}
    		// But the refresh token itself might need to be re-issued if it has
    		// expired.
    		else if (refreshToken instanceof ExpiringOAuth2RefreshToken) { 
    			ExpiringOAuth2RefreshToken expiring = (ExpiringOAuth2RefreshToken) refreshToken;
    			if (System.currentTimeMillis() > expiring.getExpiration().getTime()) { 
    				refreshToken = createRefreshToken(authentication);
    			}
    		}
    
    		OAuth2AccessToken accessToken = createAccessToken(authentication, refreshToken);
    		tokenStore.storeAccessToken(accessToken, authentication);
    		// In case it was modified
    		refreshToken = accessToken.getRefreshToken();
    		if (refreshToken != null) { 
    			tokenStore.storeRefreshToken(refreshToken, authentication);
    		}
    		return accessToken;
    
    	}

## 15、创建 token ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 10]

## 16、存储在redis ##

RedisTokenStore.java
    @Override
    	public void storeAccessToken(OAuth2AccessToken token, OAuth2Authentication authentication) { 
    		byte[] serializedAccessToken = serialize(token);
    		byte[] serializedAuth = serialize(authentication);
    		byte[] accessKey = serializeKey(ACCESS + token.getValue());
    		byte[] authKey = serializeKey(AUTH + token.getValue());
    		byte[] authToAccessKey = serializeKey(AUTH_TO_ACCESS + authenticationKeyGenerator.extractKey(authentication));
    		byte[] approvalKey = serializeKey(UNAME_TO_ACCESS + getApprovalKey(authentication));
    		byte[] clientId = serializeKey(CLIENT_ID_TO_ACCESS + authentication.getOAuth2Request().getClientId());
    
    		RedisConnection conn = getConnection();
    		try { 
    			conn.openPipeline();
    			if (springDataRedis_2_0) { 
    				try { 
    					this.redisConnectionSet_2_0.invoke(conn, accessKey, serializedAccessToken);
    					this.redisConnectionSet_2_0.invoke(conn, authKey, serializedAuth);
    					this.redisConnectionSet_2_0.invoke(conn, authToAccessKey, serializedAccessToken);
    				} catch (Exception ex) { 
    					throw new RuntimeException(ex);
    				}
    			} else { 
    				conn.set(accessKey, serializedAccessToken);
    				conn.set(authKey, serializedAuth);
    				conn.set(authToAccessKey, serializedAccessToken);
    			}
    			if (!authentication.isClientOnly()) { 
    				conn.sAdd(approvalKey, serializedAccessToken);
    			}
    			conn.sAdd(clientId, serializedAccessToken);
    			if (token.getExpiration() != null) { 
    				int seconds = token.getExpiresIn();
    				conn.expire(accessKey, seconds);
    				conn.expire(authKey, seconds);
    				conn.expire(authToAccessKey, seconds);
    				conn.expire(clientId, seconds);
    				conn.expire(approvalKey, seconds);
    			}
    			OAuth2RefreshToken refreshToken = token.getRefreshToken();
    			if (refreshToken != null && refreshToken.getValue() != null) { 
    				byte[] refresh = serialize(token.getRefreshToken().getValue());
    				byte[] auth = serialize(token.getValue());
    				byte[] refreshToAccessKey = serializeKey(REFRESH_TO_ACCESS + token.getRefreshToken().getValue());
    				byte[] accessToRefreshKey = serializeKey(ACCESS_TO_REFRESH + token.getValue());
    				if (springDataRedis_2_0) { 
    					try { 
    						this.redisConnectionSet_2_0.invoke(conn, refreshToAccessKey, auth);
    						this.redisConnectionSet_2_0.invoke(conn, accessToRefreshKey, refresh);
    					} catch (Exception ex) { 
    						throw new RuntimeException(ex);
    					}
    				} else { 
    					conn.set(refreshToAccessKey, auth);
    					conn.set(accessToRefreshKey, refresh);
    				}
    				if (refreshToken instanceof ExpiringOAuth2RefreshToken) { 
    					ExpiringOAuth2RefreshToken expiringRefreshToken = (ExpiringOAuth2RefreshToken) refreshToken;
    					Date expiration = expiringRefreshToken.getExpiration();
    					if (expiration != null) { 
    						int seconds = Long.valueOf((expiration.getTime() - System.currentTimeMillis()) / 1000L)
    								.intValue();
    						conn.expire(refreshToAccessKey, seconds);
    						conn.expire(accessToRefreshKey, seconds);
    					}
    				}
    			}
    			conn.closePipeline();
    		} finally { 
    			conn.close();
    		}
    	}

## 17、把refreshToken也保存在redis中 ##

![在这里插入图片描述][12764e0cbd4248a29c4ed71fc55f41f9.png]

## 18、推送成功授权消息 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 11]

# 五、认证签权详细流程 #

当用户访问资源服务器时，是如何签权的呢？

## 1、资源服务器入口：OAuth2AuthenticationProcessingFilter ##

当一个服务配置为资源服务的时候OAuth2AuthenticationProcessingFilter过滤器被置入过滤器链，并用请求中的token值构造Authentication  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 12]

## 2、调用授权服务进行认证 ##

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 13]  
资源服务器URL：http://my-auth/oauth/check\_token  
注意：clientId, clientSecret 是什么时候设置的。

## 3、授权服务器是如何根据token签权授权的？ ##

如下图，这步是客户端签权，如果失败将返回。  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 14]  
如下图,这是授权过程。  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 15]  
这是授权结果：里面包含了资源列表  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 16]

具体对某个功能进行签权，致此授权签权就完成了。  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 17]

[Link 1]: http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220828/358a472076a34ed0a99269a17471d649.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220828/cefda13d2aaa4b5db1ba8641b16d74c8.png
[69c3c52c95fa428dbdeb1db2605744fe.png]: https://img-blog.csdnimg.cn/69c3c52c95fa428dbdeb1db2605744fe.png
[e546d56db27e4f21ad7d41c471beac7d.png]: /images/20220828/719c0d46456c4a74afbb54c9c7f37c2d.png
[d80756dac29149a182e72d1a46c18036.png]: /images/20220828/662080fb380a47c9bc3a2bdc9b8fee73.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 2]: /images/20220828/1ec25d8e067248dfb73b341887cc3b6b.png
[53dd14769b7e4662b34d70f78364dde8.png]: /images/20220828/0c0d2bf212e84e98bbf024181057eb31.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 3]: /images/20220828/d6c48d949206478094868ae4ea2ae5d8.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 4]: /images/20220828/6d683e51783e44bd8b8b300f02d000b8.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 5]: /images/20220828/5601277170504749bb1e139ad70c5f6f.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 6]: /images/20220828/d5c6bf7c424249029469a8885237c662.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 7]: /images/20220828/9ed2cde67da84fd5b13d15b5f675a4bd.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 8]: /images/20220828/fc18f98394ba449885b0e976c4597004.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 9]: /images/20220828/cb1ea45f3fb7478488991e54b3a81957.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 10]: /images/20220828/10a4e8035f5c404a8479fbda038a78d0.png
[12764e0cbd4248a29c4ed71fc55f41f9.png]: /images/20220828/3b7f89402582446fb99e72ce967fde0e.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 11]: /images/20220828/16e5de719c49411d8aa26abd52a13abe.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 12]: /images/20220828/81d541695e014e4aa0b865a1d2c80627.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 13]: /images/20220828/9f71c47d8d2d4acdb499d5b2fba7e144.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 14]: /images/20220828/30c1b4eb605249999e6706ec46dcb257.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 15]: /images/20220828/5cc654740e884e7ea9c2af4e7bed3afa.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 16]: /images/20220828/c75c6bb3b28140a1abce87c6a1ac63b2.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5bGx5beF_size_20_color_FFFFFF_t_70_g_se_x_16 17]: /images/20220828/e95130c4b60e40138726adf3f837c2a5.png