分布式授权解决方案：

其中授权服务一般放在网关服务上，资源服务指的是，挂在网关下得各个微服务

授权服务配置：

/**
 * 授权服务配置
 */
@Configuration
//开启oauth2,auth server模式
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

客户端详情服务类似于userdetailservice；一个针对客户，一个针对客户端

这3步的配置代码：

package lee.config;

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpMethod;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter;
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer;
import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerSecurityConfigurer;
import org.springframework.security.oauth2.provider.ClientDetailsService;
import org.springframework.security.oauth2.provider.code.InMemoryAuthorizationCodeServices;
import org.springframework.security.oauth2.provider.token.AuthorizationServerTokenServices;
import org.springframework.security.oauth2.provider.token.DefaultTokenServices;
import org.springframework.security.oauth2.provider.token.TokenStore;

@Configuration

//开启oauth2,auth server模式
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private PasswordEncoder passwordEncoder;

    //配置客户端

    /**1.配置客户端，允许哪些客户端来调用服务
     * 类似于userdetailservice 用来查询客户端详情信息的
     * @param clients
     * @throws Exception
     */
    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                //client的id和密码
                .withClient("client1")
                .secret(passwordEncoder.encode("123123"))

                //给client一个id,这个在client的配置里要用的
                .resourceIds("resource1")

                //允许的申请token的方式,测试用例在test项目里都有.
                //authorization_code授权码模式,这个是标准模式
                //implicit简单模式,这个主要是给无后台的纯前端项目用的
                //password密码模式,直接拿用户的账号密码授权,不安全
                //client_credentials客户端模式,用clientid和密码授权,和用户无关的授权方式
                //refresh_token使用有效的refresh_token去重新生成一个token,之前的会失效
                .authorizedGrantTypes("authorization_code", "password", "client_credentials", "implicit", "refresh_token")

                //授权的范围,每个resource会设置自己的范围.
                .scopes("scope1", "scope2")

                //这个是设置要不要弹出确认授权页面的.
                .autoApprove(false)

                //这个相当于是client的域名,重定向给code的时候会跳转这个域名
                .redirectUris("http://www.baidu.com");

                /*.and()

                .withClient("client2")
                .secret(passwordEncoder.encode("123123"))
                .resourceIds("resource1")
                .authorizedGrantTypes("authorization_code", "password", "client_credentials", "implicit", "refresh_token")
                .scopes("all")
                .autoApprove(false)
                .redirectUris("http://www.qq.com");*/
    }


    @Autowired
    private ClientDetailsService clientDetailsService;

    @Autowired
    private TokenStore tokenStore;

    //配置token管理服务
    @Bean
    public AuthorizationServerTokenServices tokenServices() {
        DefaultTokenServices defaultTokenServices = new DefaultTokenServices();
        defaultTokenServices.setClientDetailsService(clientDetailsService);
        defaultTokenServices.setSupportRefreshToken(true);

        //配置token的存储方法
        defaultTokenServices.setTokenStore(tokenStore);
        defaultTokenServices.setAccessTokenValiditySeconds(300);
        defaultTokenServices.setRefreshTokenValiditySeconds(1500);
        return defaultTokenServices;
    }

    //密码模式才需要配置,认证管理器
    @Autowired
    private AuthenticationManager authenticationManager;

    //把上面的各个组件组合在一起

    /**2.配置令牌怎么生成令牌怎么存储令牌等
     * 配置令牌访问端点和令牌服务。其实就是配置令牌访问的url
     * @param endpoints
     * @throws Exception
     */
    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authenticationManager)//认证管理器
                .authorizationCodeServices(new InMemoryAuthorizationCodeServices())//授权码管理
                .tokenServices(tokenServices())//token管理
                .allowedTokenEndpointRequestMethods(HttpMethod.POST);
    }

    //配置哪些接口可以被访问

    /**3.配置令牌端点安全约束，不是任何人都能来申请令牌的（例子里我们放开了限制）
     * 类似于
     * .antMatchers("/manager/index").hasAnyAuthority("Role_List")
     * @param security
     * @throws Exception
     */
    @Override
    public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
        security.tokenKeyAccess("permitAll()")///oauth/token_key公开
                .checkTokenAccess("permitAll()")///oauth/check_token公开
                .allowFormAuthenticationForClients();//允许表单认证
    }
}

@Configuration
public class TokenConfig {

    //配置token的存储方法
    @Bean
    public TokenStore tokenStore() {
        //配置token存储在内存中,这种是普通token,每次都需要远程校验,性能较差
        return new InMemoryTokenStore();
    }
}

    @Autowired
    private TokenStore tokenStore;
    //配置token管理服务
    @Bean
    public AuthorizationServerTokenServices tokenServices() {
        DefaultTokenServices defaultTokenServices = new DefaultTokenServices();
        defaultTokenServices.setClientDetailsService(clientDetailsService);
        defaultTokenServices.setSupportRefreshToken(true);//支持刷新令牌
        defaultTokenServices.setTokenStore(tokenStore); //配置token的存储方法-例子采用内存存储
        defaultTokenServices.setAccessTokenValiditySeconds(300); //令牌有效期
        defaultTokenServices.setRefreshTokenValiditySeconds(1500); //刷新令牌有效期 默认3天
        return defaultTokenServices;
    }

此服务配置注入在授权服务AuthorizationServerConfig里

代码如下：

package lee.config;

import lee.model.MyUserDetails;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.core.userdetails.User;
import org.springframework.security.core.userdetails.UserDetailsService;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
import org.springframework.security.crypto.password.PasswordEncoder;
import org.springframework.security.provisioning.InMemoryUserDetailsManager;

@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    //密码模式才需要配置,认证管理器
    @Bean
    @Override
    protected AuthenticationManager authenticationManager() throws Exception {
        return super.authenticationManager();
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .anyRequest().permitAll()

                .and()
                .formLogin()

                .and()
                .logout();
    }

    @Override
    @Bean
    public UserDetailsService userDetailsService() {
        /**
         * 基于内存创建用户
         */
        InMemoryUserDetailsManager manager=new InMemoryUserDetailsManager();

        manager.createUser(User.withUsername("zhangsan").password(passwordEncoder().encode("123")).authorities("admin").build());
        manager.createUser(User.withUsername("lisi").password(passwordEncoder().encode("123")).authorities("user").build());
        return manager;
/*
        return s -> {
            if ("admin".equals(s) || "user".equals(s)) {
                return new MyUserDetails(s, passwordEncoder().encode(s), s);
            }
            return null;
        };*/
    }
}

至此授权服务就已经搭建好了；下面我们进行测试一下：

一、授权服务

1.授权码模式

　　1.1浏览器访问

　　http://127.0.0.1:9001/oauth/authorize?client_id=client1&response_type=code&scope=scope1&redirect_uri=http://www.baidu.com

　　这代表我的页面（假如我的页面是百度）需要用9001的服务器进行登录（就像很多页面可以用QQ登陆一样）

　　这时候会跳转到9001的登录页面：

　　登录后，会跳转授权页面给该app授权，授权后会在重定向的页面带上授权码：

1.2拿到授权码后可以用授权码、之前在9001申请的appId和secret去获取令牌

postman 访问： http://127.0.0.1:9001/oauth/token?client_id=client1&client_secret=123123&grant_type=authorization_code&code=8cUIKC&redirect_uri=http://www.baidu.com

刷新令牌：当访问令牌无效的时候可以用刷新令牌重新去申请访问令牌；

2.简化模式

　　浏览器访问

　　http://127.0.0.1:9001/oauth/authorize?client_id=client1&response_type=token&scope=scope1&redirect_uri=http://www.baidu.com

　　返回如下：

重定向连接会直接带上token信息：

https://www.baidu.com/#access_token=96b73bb0-40f8-4fdb-b207-42ce15ae01be&token_type=bearer&expires_in=299

简化模式用于没有服务器端的第三方单页面应用，因为没有服务器就无法接受授权码。

3.密码模式

　　该模式会将密码泄露给客户端，所以这种模式只能用于client是我们自己开发的情况下，因此密码模式一般用于我们自己开发的第一方原生app。

　　http://127.0.0.1:9001/oauth/token?client_id=client1&client_secret=123123&grant_type=password&username=user&password=user

　　直接申请返回令牌：

4.客户端模式

　　http://127.0.0.1:9001/oauth/token?client_id=client1&client_secret=123123&grant_type=client_credentials

　　只需要client_id、client_secret 和grant_type授权类型即可申请令牌

　　Postman调用如下：

　　该模式用于在我们完全信任客户端的情况下，而client也是安全的；比如合作方对接，拉取一组用户信息。或者系统内部调用。

二、资源服务配置

/**
 * 资源服务配置
 */
@Configuration
//开启oauth2,reousrce server模式
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

以上配置得代码：

/**
 * 资源服务配置
 */
@Configuration
//开启oauth2,reousrce server模式
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {
    public static final String RESOURCE_ID="resource1";//资源id
    @Override
    public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
        resources
                //设置我这个resource的id, 这个在auth中配置, 这里必须照抄
                .resourceId(RESOURCE_ID)//该资源id
                .tokenServices(tokenServices())
                //这个貌似是配置要不要把token信息记录在session中
                .stateless(true);
    }

    /**
     * 配置资源访问规则
     * @param http
     * @throws Exception
     */
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                //本项目所需要的授权范围,这个scope是写在auth服务的配置里的
                .antMatchers("/**").access("#oauth2.hasScope('scope1')")
                .and()
                //配置要不要把token信息记录在session中
                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }

    /**
     * 令牌验证服务
     * @return
     */
    @Bean
    public RemoteTokenServices tokenServices(){
        //远程token验证, 普通token必须远程校验
        RemoteTokenServices services = new RemoteTokenServices();
        //配置去哪里验证token
        services.setCheckTokenEndpointUrl("http://127.0.0.1:9001/oauth/check_token");
        //配置组件的clientid和密码,这个也是在auth中配置好的
        services.setClientId("client1");
        services.setClientSecret("123123");
        return services;
    }
}

配置资源

@RestController
public class IndexController {

    @RequestMapping("user")
    @PreAuthorize("hasAnyAuthority('user')")
    public String user() {
        return "user";
    }

    //测试接口
    @RequestMapping("admin")
    @PreAuthorize("hasAnyAuthority('admin')")
    public String admin() {
        return "admin";
    }

    @RequestMapping("me")
    public Principal me(Principal principal) {
        return principal;
    }
}

另外还要配置安全访问控制WebSecurityConfig 才能使权限生效：

由于资源是基于方法得授权，基于web得授权就可以屏蔽掉了

@Configuration
@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    //安全拦截机制
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                //由于拦截的是接口方法无需配置拦截url 只需要在controller配置即可
                .authorizeRequests()
                .anyRequest().permitAll();
    }
}

　　校验令牌：http://127.0.0.1:9001/oauth/check_token

　　校验令牌会带回所有有用户所有权限信息，资源服务拿到这些权限信息后可以去申请相应得资源

　　带令牌访问资源：

　　需要在header里面带入令牌：Key:” Authorization” value:” Bearer+空格+token”

实际工作应用：若要用授权码模式需要事先给定客户端一个权限编码并且在调用方法得时候验证这个权限编码是否有权限调用接口

　　　　　　　　如果用账号密码模式道理也一样

JWT令牌见下一章：

OAuth2.0-1

分布式授权解决方案：

授权服务配置：

至此授权服务就已经搭建好了；下面我们进行测试一下：

二、资源服务配置

猜你喜欢