这边通过Security+JWT搭建简单的授权服务器和资源服务器示例。
整体流程大概是这样的
JWT 认证流程
1、用户先访问授权服务器。传入用户输入用户名/密码登录，授权服务器认证成功后，会返回给客户端一个 JWT
2、用户在访问资源服务器。当用户希望访问一个受保护的路由或者资源的时候，需要请求头的 Authorization 字段中使用Bearer 模式添加 JWT，其内容看起来是下面这样
Authorization: Bearer复制代码
3、资源服务器保护路由将会检查请求头 Authorization 中的 JWT 信息，如果合法，则允许用户的行为
下面开始搭建
一、搭建授权服务器
授权服务器配置类
/**
* @Description: 授权服务器配置
* 使用 @EnableAuthorizationServer 来配置授权服务机制，并继承 AuthorizationServerConfigurerAdapter 该类重写 configure 方法定义授权服务器策略
*/
@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServer extends AuthorizationServerConfigurerAdapter {
@Autowired
private AuthenticationManager authenticationManager;
/**
* 使用同一个密钥来编码 JWT 中的 OAuth2 令牌，在资源服务器解析JWT的时候需要有一样的密钥
*/
@Bean
public JwtAccessTokenConverter accessTokenConverter() {
JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
converter.setSigningKey("dada");
return converter;
}
@Bean
public JwtTokenStore jwtTokenStore() {
return new JwtTokenStore(accessTokenConverter());
}
/**
* 告诉Spring Security Token的生成方式
*/
@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
endpoints
.authenticationManager(authenticationManager)
.tokenStore(jwtTokenStore())
.accessTokenConverter(accessTokenConverter());
}
@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
//添加客户端信息 使用in-memory存储客户端信息
clients.inMemory()
//客户端标识 ID
.withClient("clientId")
//客户密钥
.secret("666666")
//客户端访问范围，默认为空则拥有全部范围
.scopes("read_userinfo")
//客户端使用的授权类型，默认为空
.authorizedGrantTypes(
"password",
"authorization_code",
"refresh_token");
}
}
application.properties配置类
security.user.name=xuxiaoxiao
security.user.password=123456
这里设置 用户名为: xuxiaoxiao 密码为: 123456 端口号默认为: 8080
说明 有关其它代码这里就不再贴出，最后会给出整个demo的github地址。
二、搭建资源服务器
资源服务器配置类
/**
* @Description: 资源服务器通过 @EnableResourceServer 注解来开启一个 OAuth2AuthenticationProcessingFilter 类型的过滤器
* 通过继承 ResourceServerConfigurerAdapter 类来配置资源服务器
*/
@Configuration
@EnableResourceServer
public class OAuth2ResourceServer extends ResourceServerConfigurerAdapter {
@Override
public void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests()
.anyRequest().authenticated().and()
.requestMatchers().antMatchers("/api/**");
}
@Bean
public TokenStore tokenStore() {
return new JwtTokenStore(jwtAccessTokenConverter());
}
/**
* 与授权服务器使用共同的密钥进行解析
*/
@Bean
public JwtAccessTokenConverter jwtAccessTokenConverter() {
JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
converter.setSigningKey("dada");
return converter;
}
}
UserController
@Controller
public class UserController {
@RequestMapping("/api/userinfo")
public ResponseEntity<String> getUerInfo() {
//这里会做解析jwt操作，获取jwt中的用户名
String username = (String) SecurityContextHolder.getContext().getAuthentication().getPrincipal();
return ResponseEntity.ok(username);
}
}
application.properties
server.port=8081
这里只是配置端口号为 8081
三、测试
1、整体测试流程
1.）启动jwt-authserver(授权服务器)，端口8080
2.) 启动jwt-resourceserver(资源服务器)，端口8081
3.) 请求授权服务器，获取jwt令牌
curl -X POST --user clientId:666666 http://localhost:8080/oauth/token -H "accept: application/json" -H "content-type: application/x-www-formurlencoded"
-d "grant_type=password&username=xuxiaoxiao&password=123456&scope=read_userinfo"
4.) 带上jwt令牌请求资源服务器
curl -X GET http://localhost:8081/api/userinfo -H "authorization: Bearer 上面返回的jwt令牌
2、postman测试
先请求授权服务器
从请求中可以看出，授权服务器已经成功返回 access_token。
再请求资源服务器
因为上面授权服务器已经返回access_token，那么我们在请求资源服务器的时候，就可以在请求头中加入这个token。
可以看出资源服务器已经成功解析这个access_token，获取到当前用户名。
总结：这个demo实现了基于Security+JWT搭建简单的授权服务器和资源服务器,也仅仅是搭建了简单的demo。里面的数据都是写死的并没有通过配置走，对于配置类也没有做详细的说明。