Spring Security 入门使用

旧城等待， 2023-09-27 22:25 152阅读 0赞

## 一.认证授权 ##

### 1.什么是认证授权 ###

认证授权模块实现平台所有用户的身份认证与用户授权功能。

#### 1.1 什么是用户身份认证？ ####

用户身份认证即用户去访问系统资源时系统要求验证用户的身份信息，身份合法方可继续访问。常见的用户身份认证表现形式有：用户名密码登录，微信扫码等方式。  
项目包括学生、学习机构的老师、平台运营人员三类用户，不管哪一类用户在访问项目受保护资源时都需要进行身份认证。比如：发布课程操作，需要学习机构的老师首先登录系统成功，然后再执行发布课程操作。创建订单，需要学生用户首先登录系统，才可以创建订单。如下图：

![在这里插入图片描述][f6ef810c45e040c2947d1a93289aef39.png]

#### 1.2 什么是用户授权？ ####

用户认证通过后去访问系统的资源，系统会判断用户是否拥有访问资源的权限，只允许访问有权限的系统资源，没有权限的资源将无法访问，这个过程叫用户授权。比如：用户去发布课程，系统首先进行用户身份认证，认证通过后继续判断用户是否有发布课程的权限，如果没有权限则拒绝继续访问系统，如果有权限则继续发布课程。如下图：

![在这里插入图片描述][ec9e54ce1fc44514981865c2ac213cb3.png]

## 二. Spring Security 认证研究 ##

### 2.1 Spring Security介绍 ###

认证功能几乎是每个项目都要具备的功能，并且它与业务无关，市面上有很多认证框架，如：Apache Shiro、CAS、Spring Security等。由于本项目基于Spring Cloud技术构建，Spring Security是spring家族的一份子且和Spring Cloud集成的很好，所以本项目选用Spring Security作为认证服务的技术框架。  
Spring Security 是一个功能强大且高度可定制的身份验证和访问控制框架，它是一个专注于为 Java 应用程序提供身份验证和授权的框架。  
项目主页：https://spring.io/projects/spring-security  
Spring cloud Security： https://spring.io/projects/spring-cloud-security

### 2.2 创建认证服务工程 ###

下边我们使用Spring Security框架快速构建认证授权功能体系。  
[点击这里获取资料][Link 1]

1.  部署认证服务工程

![在这里插入图片描述][4a3a83465059404faf6d6e970fb09de4.png]

从资料中拷贝xuecheng-plus-auth工程到自己的工程目录下。  
此工程是一个普通的spring boot工程，可以连接数据库。  
此工程不具备认证授权的功能。  
2. 创建数据库  
![在这里插入图片描述][b19f805dbb8c4cb3b7f64670342be4b6.png]

创建users数据库  
导入资料中的xcplus\_users.sql脚本。  
![在这里插入图片描述][c763eace1db94582b0449b8da61c5cc3.png]

1.  启动工程  
    启动成功后，尝试访问http://localhost:63070/auth/r/r1 ![在这里插入图片描述][106158434270484594e368a7b0522ade.png]

访问结果：

![在这里插入图片描述][9bfe519f6d574f41926deaab8c6c04a1.png]

#### 2.2.1 认证（初始入门） ####

引入依赖  
Spring Security所需要的依赖

<dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-starter-security</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-starter-oauth2</artifactId>
    </dependency>

重启工程，访问http://localhost:63070/auth/r/r1  
自动进入/login登录页面，/login是spring security提供的,此页面有几个css样式加载会稍微慢点，如下图：  
![在这里插入图片描述][b9c9ac5aec134112ba5db1f49e364228.png]  
账号和密码是多少呢？下一步需要进行安全配置。把下面配置类添加到config下。

package com.xuecheng.auth.config;
    
    import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.context.annotation.Bean;
    import org.springframework.security.authentication.AuthenticationManager;
    import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
    import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
    import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
    import org.springframework.security.core.userdetails.User;
    import org.springframework.security.core.userdetails.UserDetailsService;
    import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
    import org.springframework.security.crypto.password.NoOpPasswordEncoder;
    import org.springframework.security.crypto.password.PasswordEncoder;
    import org.springframework.security.provisioning.InMemoryUserDetailsManager;
    
    /**
     * @author Mr.M
     * @version 1.0
     * @description 安全管理配置
     * @date 2022/9/26 20:53
     */
    @EnableWebSecurity
    @EnableGlobalMethodSecurity(securedEnabled = true,prePostEnabled = true)
    public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
        
    
    
        //配置用户信息服务
        @Bean
        public UserDetailsService userDetailsService() {
        
            //这里配置用户信息,这里暂时使用这种方式将用户存储在内存中
            InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();
            manager.createUser(User.withUsername("zhangsan").password("123").authorities("p1").build());
            manager.createUser(User.withUsername("lisi").password("456").authorities("p2").build());
            return manager;
        }
    
        @Bean
        public PasswordEncoder passwordEncoder() {
        
    //        //密码为明文方式
            return NoOpPasswordEncoder.getInstance();
    //        return new BCryptPasswordEncoder();
        }
    
        //配置安全拦截机制
        @Override
        protected void configure(HttpSecurity http) throws Exception {
        
            http
                    .authorizeRequests()
                    .antMatchers("/r/**").authenticated()//访问/r开始的请求需要认证通过
                    .anyRequest().permitAll()//其它请求全部放行
                    .and()
                    .formLogin().successForwardUrl("/login-success");//登录成功跳转到/login-success
        }
    
    
    
    }

WebSecurityConfig配置了三部分的内容：

*  用户信息  
    在内存配置两个用户：zhangsan、lisi  
    zhangsan用户拥有的权限为p1  
    lisi用户拥有的权限为p2
 *  密码方式  
    暂时采用明文方式
 *  安全拦截机制  
    /r/\*\*开头的请求需要认证  
    登录成功到成功页面

重启工程  
1、访问http://localhost:63070/auth/user/52 可以正常访问  
![在这里插入图片描述][53da1ac597114b7ca9dfcc9881c13fb8.png]

2、访问http://localhost:63070/auth/r/r1 显示登录页面  
![9b2f7d5a048e4653838201daac3faf7a.png][]

账号zhangsan，密码为123，如果输入的密码不正确会认证失败，输入正确显示登录成功。  
![在这里插入图片描述][27a3f61577564e4b9ceea9f2a914f99e.png]  
http.logout().logoutUrl(“/logout”);配置了退出页面，认证成功后访问/logout可退出登录，http://localhost:63070/auth/logout。  
![在这里插入图片描述][40af8a96327d44f98cb6336e734a13bc.png]

为什么http://localhost:63070/auth/user/52 可以正常访问，访问http://localhost:63070/auth/r/r1 显示登录页面？那是配置了拦截，以“/r”开头的都会被拦截。  
![在这里插入图片描述][55376fb744fd47cda0f901994d3cf77b.png]

#### 2.2.1 授权（初始入门） ####

用户认证通过去访问系统资源时spring security进行授权控制，判断用户是否有该资源的访问权限，如果有则继续访问，如果没有则拒绝访问。  
下边测试授权功能：  
1、配置用户拥有哪些权限。  
在WebSecurityConfig类配置zhangsan拥有p1权限，lisi拥有p2权限。

![在这里插入图片描述][3430ab85a41342ada285d40a4e06fca5.png]  
2、指定资源与权限的关系。  
什么是系统的资源？  
比如：查询一个用户的信息，用户信息就是系统的资源，要访问资源需要通过URL，所以我们在controller中定义的每个http的接口就是访问资源的接口。  
下边在controller中配置/r/r1需要p1权限，/r/r2需要p2权限。  
hasAuthority(‘p1’)表示拥有p1权限方可访问。  
代码如下：  
![在这里插入图片描述][2aef6010372442d484acc440227b1c04.png]  
现在重启工程。  
当访问以/r/开头的url时会判断用户是否认证，如果没有认证则跳转到登录页面，如果已经认证则判断用户是否具有该URL的访问权限，如果具有该URL的访问权限则继续，否则拒绝访问。  
例如：  
访问/r/r1，使用zhangsan登录可以正常访问，因为在/r/r1的方法上指定了权限p1，zhangsan用户拥有权限p1,所以可以正常访问。  
访问/r/r1，使用lisi登录则拒绝访问，由于lisi用户不具有权限p1需要拒绝访问  
注意：如果访问上不加@PreAuthorize，此方法没有授权控制。

整理授权的过程见下图所示：  
![在这里插入图片描述][7ac4c1d19da74764bda81a76fe556008.png]

### 2.3 什么是OAuth3 ###

### 2.3.1 OAuth3认证流程 ###

在前边我们提到微信扫码认证，这是一种第三方认证的方式，这种认证方式是基于OAuth2协议实现，  
OAUTH协议为用户资源的授权提供了一个安全的、开放而又简易的标准。同时，任何第三方都可以使用OAUTH认证服务，任何服务提供商都可以实现自身的OAUTH认证服务，因而OAUTH是开放的。业界提供了OAUTH的多种实现如PHP、JavaScript，Java，Ruby等各种语言开发包，大大节约了程序员的时间，因而OAUTH是简易的。互联网很多服务如Open API，很多大公司如Google，Yahoo，Microsoft等都提供了OAUTH认证服务，这些都足以说明OAUTH标准逐渐成为开放资源授权的标准。  
Oauth协议目前发展到2.0版本，1.0版本过于复杂，2.0版本已得到广泛应用。

参考：https://baike.baidu.com/item/oAuth/7153134?fr=aladdin  
Oauth协议：https://tools.ietf.org/html/rfc6749

下边分析一个Oauth2认证的例子，黑马程序员网站使用微信认证扫码登录的过程：

![在这里插入图片描述][96996bb15ef84a5d989a5582a7cd7255.png]

具体流程如下：  
1、用户点击微信扫码  
用户进入黑马程序的登录页面，点击微信的图标开打微信扫码界面。  
![在这里插入图片描述][61b771ff35964f328cfb245a5451dae3.png]  
![在这里插入图片描述][d8e135eef86b432e847da2efdaf07b85.png]  
微信扫码的目的是通过微信认证登录黑马程序员官网，黑马程序员网站需要从微信获取当前用户的身份信息才会让当前用户在黑马网站登录成功。  
现在搞清楚几个概念：  
资源：用户信息，在微信中存储。  
资源拥有者：用户是用户信息资源的拥有者。  
认证服务：微信负责认证当前用户的身份，负责为客户端颁发令牌。  
客户端：客户端会携带令牌请求微信获取用户信息，黑马程序员网站即客户端，黑马网站需要在浏览器打开。  
2、用户授权黑马网站访问用户信息  
资源拥有者扫描二维码表示资源拥有者请求微信进行认证，微信认证通过向用户手机返回授权页面，如下图：  
![在这里插入图片描述][e25af0759e9c42478b23cea207a7c725.png]  
询问用户是否授权黑马程序员访问自己在微信的用户信息，用户点击“确认登录”表示同意授权，微信认证服务器会颁发一个授权码给黑马程序员的网站。  
只有资源拥有者同意微信才允许黑马网站访问资源。  
3、黑马程序员的网站获取到授权码  
4、携带授权码请求微信认证服务器申请令牌  
此交互过程用户看不到。  
5、微信认证服务器向黑马程序员的网站响应令牌  
此交互过程用户看不到。  
6、黑马程序员网站请求微信资源服务器获取资源即用户信息。  
黑马程序员网站携带令牌请求访问微信服务器获取用户的基本信息。  
7、资源服务器返回受保护资源即用户信息  
8、黑马网站接收到用户信息，此时用户在黑马网站登录成功。  
Oauth2.0认证流程如下：  
引自Oauth2.0协议rfc6749 https://tools.ietf.org/html/rfc6749  
![在这里插入图片描述][dd18d685b2a343e89ada7bf29c9d564d.png]  
Oauth2包括以下角色：

1、客户端  
本身不存储资源，需要通过资源拥有者的授权去请求资源服务器的资源，比如：手机客户端、浏览器等。  
上边示例中黑马网站即为客户端，它需要通过浏览器打开。

2、资源拥有者  
通常为用户，也可以是应用程序，即该资源的拥有者。  
A表示 客户端请求资源拥有者授权。  
B表示 资源拥有者授权客户端即黑马网站访问自己的用户信息。

3、授权服务器（也称认证服务器）  
认证服务器对资源拥有者进行认证，还会对客户端进行认证并颁发令牌。  
C 客户端即黑马网站携带授权码请求认证。  
D认证通过颁发令牌。

4、资源服务器  
存储资源的服务器。  
E表示客户端即黑马网站携带令牌请求资源服务器获取资源。  
F表示资源服务器校验令牌通过后提供受保护资源。

#### 2.3.2 OAuth2的授权模式 ####

Spring Security支持OAuth2认证，OAuth2提供授权码模式、密码模式、简化模式、客户端模式等四种授权模式，前边举的微信扫码登录的例子就是基于授权码模式，这四种模式中授权码模式和密码模式应用较多，本节使用Spring Security演示授权码模式、密码模式，其余两种请自行查阅相关资料。

#### 2.3.2.1 授权码模式 ####

OAuth2的几个授权模式是根据不同的应用场景以不同的方式去获取令牌，最终目的是要获取认证服务颁发的令牌，最终通过令牌去获取资源。  
授权码模式简单理解是使用授权码去获取令牌，要想获取令牌先要获取授权码，授权码的获取需要资源拥有者亲自授权同意才可以获取。  
下图是授权码模式交互图：  
![在这里插入图片描述][ced032d2ee8c4d21bfe5820afec165d0.png]  
还以黑马网站微信扫码登录为例进行说明：  
1、用户打开浏览器。  
2、通过浏览器访问客户端即黑马网站。  
3、用户通过浏览器向认证服务请求授权，请求授权时会携带客户端的URL，此URL为下发授权码的重定向地址。  
4、认证服务向资源拥有者返回授权页面。  
5、资源拥有者亲自授权同意。  
6、通过浏览器向认证服务发送授权同意。  
7、认证服务向客户端地址重定向并携带授权码。  
8、客户端即黑马网站收到授权码。  
9、客户端携带授权码向认证服务申请令牌。  
10、认证服务向客户端颁发令牌。

#### 2.3.2.2 授权码模式测试 ####

要想测试授权模式首先要配置授权服务器即上图中的认证服务器，需要配置授权服务及令牌策略。  
将 AuthorizationServer.java、TokenConfig.java到config包下。

package com.xuecheng.auth.config;
    
    
    import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.http.HttpMethod;
    import org.springframework.security.authentication.AuthenticationManager;
    import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
    import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer;
    import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
    import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
    import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;
    import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerSecurityConfigurer;
    import org.springframework.security.oauth2.provider.token.AuthorizationServerTokenServices;
    
    import javax.annotation.Resource;
    
    /**
     * @description 授权服务器配置
     * @author Mr.M
     * @date 2022/9/26 22:25
     * @version 1.0
     */
     @Configuration
     @EnableAuthorizationServer
     public class AuthorizationServer extends AuthorizationServerConfigurerAdapter {
        
    
      @Resource(name="authorizationServerTokenServicesCustom")
      private AuthorizationServerTokenServices authorizationServerTokenServices;
    
     @Autowired
     private AuthenticationManager authenticationManager;
    
      //客户端详情服务
      @Override
      public void configure(ClientDetailsServiceConfigurer clients)
              throws Exception {
        
            clients.inMemory()// 使用in-memory存储
                    .withClient("XcWebApp")// client_id
                    .secret("XcWebApp")//客户端密钥
    //                .secret(new BCryptPasswordEncoder().encode("XcWebApp"))//客户端密钥
                    .resourceIds("xuecheng-plus")//资源列表
                    .authorizedGrantTypes("authorization_code", "password","client_credentials","implicit","refresh_token")// 该client允许的授权类型authorization_code,password,refresh_token,implicit,client_credentials
                    .scopes("all")// 允许的授权范围
                    .autoApprove(false)//false跳转到授权页面
                    //客户端接收授权码的重定向地址
                    .redirectUris("http://www.51xuecheng.cn")
    
       ;
      }
    
    
      //令牌端点的访问配置
      @Override
      public void configure(AuthorizationServerEndpointsConfigurer endpoints) {
        
       endpoints
               .authenticationManager(authenticationManager)//认证管理器
               .tokenServices(authorizationServerTokenServices)//令牌管理服务
               .allowedTokenEndpointRequestMethods(HttpMethod.POST);
      }
    
      //令牌端点的安全配置
      @Override
      public void configure(AuthorizationServerSecurityConfigurer security){
        
       security
               .tokenKeyAccess("permitAll()")                    //oauth/token_key是公开
               .checkTokenAccess("permitAll()")                  //oauth/check_token公开
               .allowFormAuthenticationForClients()				//表单认证（申请令牌）
       ;
      }
    
     }

package com.xuecheng.auth.config;
    
    import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.context.annotation.Bean;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.oauth2.provider.token.AuthorizationServerTokenServices;
    import org.springframework.security.oauth2.provider.token.DefaultTokenServices;
    import org.springframework.security.oauth2.provider.token.TokenEnhancerChain;
    import org.springframework.security.oauth2.provider.token.TokenStore;
    import org.springframework.security.oauth2.provider.token.store.InMemoryTokenStore;
    import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter;
    import org.springframework.security.oauth2.provider.token.store.JwtTokenStore;
    
    import java.util.Arrays;
    
    /**
     * @author Administrator
     * @version 1.0
     * 令牌策略配置类
     **/
    @Configuration
    public class TokenConfig {
        
    
        @Autowired
        TokenStore tokenStore;
    
        @Bean
        public TokenStore tokenStore() {
        
            //使用内存存储令牌（普通令牌）
            return new InMemoryTokenStore();
        }
    
        ///令牌管理服务
        @Bean(name="authorizationServerTokenServicesCustom")
        public AuthorizationServerTokenServices tokenService() {
        
            DefaultTokenServices service=new DefaultTokenServices();
            service.setSupportRefreshToken(true);//支持刷新令牌
            service.setTokenStore(tokenStore);//令牌存储策略
            service.setAccessTokenValiditySeconds(7200); // 令牌默认有效期2小时
            service.setRefreshTokenValiditySeconds(259200); // 刷新令牌默认有效期3天
            return service;
        }
    
    
    
    }

配置认证管理Bean  
![在这里插入图片描述][e82848e545954964ad812cf9f4675392.png]  
重启认证服务

1、get请求获取授权码

*  先登录  
    浏览器没有缓存信息，所以要登录。  
    http://localhost:63070/auth/login
 *  get请求获取授权码  
    地址: http://localhost:63070/auth/oauth/authorizeclient\_id=XcWebApp&response\_type=code&scope=all&redirect\_uri=http://www.51xuecheng.cn

参数列表如下：  
•client\_id：客户端准入标识。  
•response\_type：授权码模式固定为code。  
•scope：客户端权限。  
•redirect\_uri：跳转uri，当授权码申请成功后会跳转到此地址，并在后边带上code参数（授权码）。

输入账号zhangsan、密码123登录成功，输入/oauth/authorize?client\_id=XcWebApp&response\_type=code&scope=all&redirect\_uri=http://www.51xuecheng.cn  
显示授权页面  
![在这里插入图片描述][f6864d24e0634c70aae663aa886f73e8.png]

授权“XcWebApp”访问自己的受保护资源?  
选择同意。

2、请求成功，重定向至http://www.xuecheng-plus.com/?code=授权码，比如：http://www.51xuecheng.cn/?code=WG42Xx  
![在这里插入图片描述][17124a142e5045ce858ef00016c00f1d.png]

3、使用httpclient工具post申请令牌  
/oauth/token?client\_id=XcWebApp&client\_secret=XcWebApp&grant\_type=authorization\_code&code=授权码&redirect\_uri=http://www.51xuecheng.cn

参数列表如下  
•client\_id：客户端准入标识。  
•client\_secret：客户端秘钥。  
•grant\_type：授权类型，填写authorization\_code，表示授权码模式  
•code：授权码，就是刚刚获取的授权码，注意：授权码只使用一次就无效了，需要重新申请。  
•redirect\_uri：申请授权码时的跳转url，一定和申请授权码时用的redirect\_uri一致。

发生POST请求，

##授权码模式
    ##第一步申请授权码(浏览器请求)/oauth/authorize?client_id=c1&response_type=code&scope=all&redirect_uri=http://www.51xuecheng.cn
    ##第二步申请令牌
    POST localhost:63070/auth/oauth/token?client_id=XcWebApp&client_secret=XcWebApp&grant_type=authorization_code&code=WG42Xx&redirect_uri=http://www.51xuecheng.cn

申请令牌成功如下所示：

![\`\`\`json \{ "access\_token": "368b1ee7-a9ee-4e9a-aae6-0fcab243aad2", "token\_type": "bearer", "refresh\_token": "3d56e139-0ee6-4ace-8cbe-1311dfaa991f", "expires\_in": 7199, "scope": "all" \}][json _ _access_token_ _368b1ee7-a9ee-4e9a-aae6-0fcab243aad2_ _token_type_ _bearer_ _refresh_token_ _3d56e139-0ee6-4ace-8cbe-1311dfaa991f_ _expires_in_ 7199_ _scope_ _all_]

说明：  
1、access\_token，访问令牌，用于访问资源使用。  
2、token\_type，bearer是在RFC6750中定义的一种token类型，在携带令牌访问资源时需要在head中加入bearer 空格 令牌内容  
3、refresh\_token，当令牌快过期时使用刷新令牌可以再次生成令牌。  
4、expires\_in：过期时间（秒）  
5、scope，令牌的权限范围，服务端可以根据令牌的权限范围去对令牌授权。

#### 2.3.3 密码模式 ####

这种模式十分简单，但是却意味着直接将用户敏感信息泄漏给了client，因此这就说明这种模式只能用于client是我们自己开发的情况下。

密码模式相对授权码模式简单，授权码模式需要借助浏览器供用户亲自授权，密码模式不用借助浏览器，如下图：  
![在这里插入图片描述][7d382576925346888d9e6258efe62825.png]  
1、资源拥有者提供账号和密码  
2、客户端向认证服务申请令牌，请求中携带账号和密码  
3、认证服务校验账号和密码正确颁发令牌。

开始测试：  
1、POST请求获取令牌  
localhost:63070/auth/oauth/token?client\_id=XcWebApp&client\_secret=XcWebApp&grant\_type=password&username=zhangsan&password=123

请求结果如下：  
![在这里插入图片描述][d9299312a9994148a10f099cceaad0bd.png]

参数列表如下：  
•client\_id：客户端准入标识。  
•client\_secret：客户端秘钥。  
•grant\_type：授权类型，填写password表示密码模式  
•username：资源拥有者用户名。  
password：资源拥有者密码。

#### 2.2.3 JWT认证 ####

在认证服务中配置jwt令牌服务，即可实现生成jwt格式的令牌,

import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.context.annotation.Bean;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.oauth2.provider.token.AuthorizationServerTokenServices;
    import org.springframework.security.oauth2.provider.token.DefaultTokenServices;
    import org.springframework.security.oauth2.provider.token.TokenEnhancerChain;
    import org.springframework.security.oauth2.provider.token.TokenStore;
    import org.springframework.security.oauth2.provider.token.store.InMemoryTokenStore;
    import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter;
    import org.springframework.security.oauth2.provider.token.store.JwtTokenStore;
    
    import java.util.Arrays;
    
    /**
     * @author Administrator
     * @version 1.0
     **/
    @Configuration
    public class TokenConfig {
        
    
        private String SIGNING_KEY = "mq123";
    
        @Autowired
        TokenStore tokenStore;
    
    //    @Bean
    //    public TokenStore tokenStore() {
        
    //        //使用内存存储令牌（普通令牌）
    //        return new InMemoryTokenStore();
    //    }
    
        @Autowired
        private JwtAccessTokenConverter accessTokenConverter;
    
        @Bean
        public TokenStore tokenStore() {
        
            return new JwtTokenStore(accessTokenConverter());
        }
    
        @Bean
        public JwtAccessTokenConverter accessTokenConverter() {
        
            JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
            converter.setSigningKey(SIGNING_KEY);
            return converter;
        }
    
        //令牌管理服务
        @Bean(name="authorizationServerTokenServicesCustom")
        public AuthorizationServerTokenServices tokenService() {
        
            DefaultTokenServices service=new DefaultTokenServices();
            service.setSupportRefreshToken(true);//支持刷新令牌
            service.setTokenStore(tokenStore);//令牌存储策略
    
            TokenEnhancerChain tokenEnhancerChain = new TokenEnhancerChain();
            tokenEnhancerChain.setTokenEnhancers(Arrays.asList(accessTokenConverter));
            service.setTokenEnhancer(tokenEnhancerChain);
    
            service.setAccessTokenValiditySeconds(7200); // 令牌默认有效期2小时
            service.setRefreshTokenValiditySeconds(259200); // 刷新令牌默认有效期3天
            return service;
        }
    }

重启认证服务。  
发送POST密码登录请求，生成JWT令牌

> localhost:63070/auth/oauth/token?client\_id=XcWebApp&client\_secret=XcWebApp&grant\_type=password&username=zhangsan&password=123

![在这里插入图片描述][dcd407283add4394accced473b9540d7.png]

1、access\_token，生成的jwt令牌，用于访问资源使用。  
2、token\_type，bearer是在RFC6750中定义的一种token类型，在携带jwt访问资源时需要在head中加入bearer jwt令牌内容  
3、refresh\_token，当jwt令牌快过期时使用刷新令牌可以再次生成jwt令牌。  
4、expires\_in：过期时间（秒）  
5、scope，令牌的权限范围，服务端可以根据令牌的权限范围去对令牌授权。  
6、jti：令牌的唯一标识。

我们可以通过check\_token接口校验jwt令牌(toke n就是 access\_token)

> localhost:63070/auth/oauth/check\_token?token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsieHVlY2hlbmctcGx1cyJdLCJ1c2VyX25hbWUiOiJ6aGFuZ3NhbiIsInNjb3BlIjpbImFsbCJdLCJleHAiOjE2ODQyMzEzODIsImF1dGhvcml0aWVzIjpbInAxIl0sImp0aSI6ImZkYTg1Nzc0LTM5ZDUtNDEyZC1hYTFjLThkZmZjOTkzNzQ3MiIsImNsaWVudF9pZCI6IlhjV2ViQXBwIn0.8pTuAFFlkJc0x4-GVTXZCgQrsq3JsSrHNbxIGup4Mvc

响应结果：  
![在这里插入图片描述][39142fe8107645bdb9f000fe2f5817ff.png]

#### 2.3.4 测试资源服务校验令牌 ####

拿到了jwt令牌下一步就要携带令牌去访问资源服务中的资源，本项目各个微服务就是资源服务，比如：内容管理服务，客户端申请到jwt令牌，携带jwt去内容管理服务查询课程信息，此时内容管理服务要对jwt进行校验，只有jwt合法才可以继续访问。如下图：  
![在这里插入图片描述][a1cc931ebe2944db8e77e58946ff77b7.png]  
1、在内容管理服务的content-api工程中添加依赖

<dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-starter-security</artifactId>
    </dependency>
    <dependency>
        <groupId>org.springframework.cloud</groupId>
        <artifactId>spring-cloud-starter-oauth2</artifactId>
    </dependency>

2、在内容管理服务的content-api工程中添加TokenConfig

package com.xuecheng.content.config;
    
    import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.context.annotation.Bean;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.oauth2.provider.token.AuthorizationServerTokenServices;
    import org.springframework.security.oauth2.provider.token.DefaultTokenServices;
    import org.springframework.security.oauth2.provider.token.TokenEnhancerChain;
    import org.springframework.security.oauth2.provider.token.TokenStore;
    import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter;
    import org.springframework.security.oauth2.provider.token.store.JwtTokenStore;
    
    import java.util.Arrays;
    
    /**
     * @author Administrator
     * @version 1.0
     **/
    @Configuration
    public class TokenConfig {
        
    
        String SIGNING_KEY = "mq123";
    
    
    //    @Bean
    //    public TokenStore tokenStore() {
        
    //        //使用内存存储令牌（普通令牌）
    //        return new InMemoryTokenStore();
    //    }
    
        @Autowired
        private JwtAccessTokenConverter accessTokenConverter;
    
        @Bean
        public TokenStore tokenStore() {
        
            return new JwtTokenStore(accessTokenConverter());
        }
    
        @Bean
        public JwtAccessTokenConverter accessTokenConverter() {
        
            JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
            converter.setSigningKey(SIGNING_KEY);
            return converter;
        }
    
    
    }

3、添加资源服务配置

package com.xuecheng.content.config;
    
    import org.springframework.beans.factory.annotation.Autowired;
    import org.springframework.context.annotation.Configuration;
    import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
    import org.springframework.security.config.annotation.web.builders.HttpSecurity;
    import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;
    import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;
    import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;
    import org.springframework.security.oauth2.provider.token.TokenStore;
    
    /**
     * @description 资源服务配置
     * @author Mr.M
     * @date 2022/10/18 16:33
     * @version 1.0
     */
     @Configuration
     @EnableResourceServer
     @EnableGlobalMethodSecurity(securedEnabled = true,prePostEnabled = true)
     public class ResouceServerConfig extends ResourceServerConfigurerAdapter {
        
    
    
      //资源服务标识
      public static final String RESOURCE_ID = "xuecheng-plus";
    
      @Autowired
      TokenStore tokenStore;
    
      @Override
      public void configure(ResourceServerSecurityConfigurer resources) {
        
       resources.resourceId(RESOURCE_ID)//资源 id
               .tokenStore(tokenStore)
               .stateless(true);
      }
    
     @Override
     public void configure(HttpSecurity http) throws Exception {
        
      http.csrf().disable()
              .authorizeRequests()
                    .antMatchers("/r/**","/course/**").authenticated()//所有/r/**的请求必须认证通过
              .anyRequest().permitAll()
      ;
     }
    
     }

根据配置可知/course/\*\*开头的接口需要认证通过。  
重启内容管理服务  
使用httpclient测试：  
1、访问根据课程id查询课程接口

> GET http://localhost:63040/content/course/2

访问结果：  
![在这里插入图片描述][30e55d6f628f4d3e8987633f1be48812.png]  
从返回信息可知当前没有认证。  
下边携带JWT令牌访问接口：  
1、申请jwt令牌  
采用密码模式申请令牌。  
2、携带jwt令牌访问资源服务地址

> 携带token访问资源服务  
> GET http://localhost:63040/content/course/2  
> Authorization: Bearer jwt的令牌  
> `注意:` Authorization 是K ， V是 Bearer +“空格”+ jwt的令牌

访问结果：  
![在这里插入图片描述][be669cb7f53f400190d97e74d298a37c.png]

[f6ef810c45e040c2947d1a93289aef39.png]: https://img-blog.csdnimg.cn/f6ef810c45e040c2947d1a93289aef39.png
[ec9e54ce1fc44514981865c2ac213cb3.png]: https://img-blog.csdnimg.cn/ec9e54ce1fc44514981865c2ac213cb3.png
[Link 1]: https://pan.baidu.com/s/1CNJhn8DNpSA5IAwCWEZm5w?pwd=1234
[4a3a83465059404faf6d6e970fb09de4.png]: https://img-blog.csdnimg.cn/4a3a83465059404faf6d6e970fb09de4.png
[b19f805dbb8c4cb3b7f64670342be4b6.png]: https://img-blog.csdnimg.cn/b19f805dbb8c4cb3b7f64670342be4b6.png
[c763eace1db94582b0449b8da61c5cc3.png]: https://img-blog.csdnimg.cn/c763eace1db94582b0449b8da61c5cc3.png
[106158434270484594e368a7b0522ade.png]: https://img-blog.csdnimg.cn/106158434270484594e368a7b0522ade.png
[9bfe519f6d574f41926deaab8c6c04a1.png]: https://img-blog.csdnimg.cn/9bfe519f6d574f41926deaab8c6c04a1.png
[b9c9ac5aec134112ba5db1f49e364228.png]: https://img-blog.csdnimg.cn/b9c9ac5aec134112ba5db1f49e364228.png
[53da1ac597114b7ca9dfcc9881c13fb8.png]: https://img-blog.csdnimg.cn/53da1ac597114b7ca9dfcc9881c13fb8.png
[9b2f7d5a048e4653838201daac3faf7a.png]: https://img-blog.csdnimg.cn/9b2f7d5a048e4653838201daac3faf7a.png
[27a3f61577564e4b9ceea9f2a914f99e.png]: https://img-blog.csdnimg.cn/27a3f61577564e4b9ceea9f2a914f99e.png
[40af8a96327d44f98cb6336e734a13bc.png]: https://img-blog.csdnimg.cn/40af8a96327d44f98cb6336e734a13bc.png
[55376fb744fd47cda0f901994d3cf77b.png]: https://img-blog.csdnimg.cn/55376fb744fd47cda0f901994d3cf77b.png
[3430ab85a41342ada285d40a4e06fca5.png]: https://img-blog.csdnimg.cn/3430ab85a41342ada285d40a4e06fca5.png
[2aef6010372442d484acc440227b1c04.png]: https://img-blog.csdnimg.cn/2aef6010372442d484acc440227b1c04.png
[7ac4c1d19da74764bda81a76fe556008.png]: https://img-blog.csdnimg.cn/7ac4c1d19da74764bda81a76fe556008.png
[96996bb15ef84a5d989a5582a7cd7255.png]: https://img-blog.csdnimg.cn/96996bb15ef84a5d989a5582a7cd7255.png
[61b771ff35964f328cfb245a5451dae3.png]: https://img-blog.csdnimg.cn/61b771ff35964f328cfb245a5451dae3.png
[d8e135eef86b432e847da2efdaf07b85.png]: https://img-blog.csdnimg.cn/d8e135eef86b432e847da2efdaf07b85.png
[e25af0759e9c42478b23cea207a7c725.png]: https://img-blog.csdnimg.cn/e25af0759e9c42478b23cea207a7c725.png
[dd18d685b2a343e89ada7bf29c9d564d.png]: https://img-blog.csdnimg.cn/dd18d685b2a343e89ada7bf29c9d564d.png
[ced032d2ee8c4d21bfe5820afec165d0.png]: https://img-blog.csdnimg.cn/ced032d2ee8c4d21bfe5820afec165d0.png
[e82848e545954964ad812cf9f4675392.png]: https://img-blog.csdnimg.cn/e82848e545954964ad812cf9f4675392.png
[f6864d24e0634c70aae663aa886f73e8.png]: https://img-blog.csdnimg.cn/f6864d24e0634c70aae663aa886f73e8.png
[17124a142e5045ce858ef00016c00f1d.png]: https://img-blog.csdnimg.cn/17124a142e5045ce858ef00016c00f1d.png
[json _ _access_token_ _368b1ee7-a9ee-4e9a-aae6-0fcab243aad2_ _token_type_ _bearer_ _refresh_token_ _3d56e139-0ee6-4ace-8cbe-1311dfaa991f_ _expires_in_ 7199_ _scope_ _all_]: https://img-blog.csdnimg.cn/5520c7fc47f34a02b5ef1dd729262b9e.png
[7d382576925346888d9e6258efe62825.png]: https://img-blog.csdnimg.cn/7d382576925346888d9e6258efe62825.png
[d9299312a9994148a10f099cceaad0bd.png]: https://img-blog.csdnimg.cn/d9299312a9994148a10f099cceaad0bd.png
[dcd407283add4394accced473b9540d7.png]: https://img-blog.csdnimg.cn/dcd407283add4394accced473b9540d7.png
[39142fe8107645bdb9f000fe2f5817ff.png]: https://img-blog.csdnimg.cn/39142fe8107645bdb9f000fe2f5817ff.png
[a1cc931ebe2944db8e77e58946ff77b7.png]: https://img-blog.csdnimg.cn/a1cc931ebe2944db8e77e58946ff77b7.png
[30e55d6f628f4d3e8987633f1be48812.png]: https://img-blog.csdnimg.cn/30e55d6f628f4d3e8987633f1be48812.png
[be669cb7f53f400190d97e74d298a37c.png]: https://img-blog.csdnimg.cn/be669cb7f53f400190d97e74d298a37c.png