如何在 RESTful API 中实现 OAuth2 认证-JavaScript中文网-JavaScript教程资源分享门户

OAuth2 是目前为止最流行的身份验证和授权协议之一。它使用了一个代理服务来代替客户端显示您的凭据，以便您可以授权第三方应用程序来访问您的资源。在本文中，我们将介绍如何在 RESTful API 中实现 OAuth2 认证。

OAuth2 流程

在介绍 OAuth2 的具体实现细节之前，我们先来了解一下 OAuth2 的工作流程。OAuth2 的授权流程基本上由下列几个步骤构成：

用户在客户端发起请求，要求访问资源。
客户端将用户重定向到认证服务器，要求用户进行身份验证。
用户在认证服务器上进行身份验证，如果验证成功，则认证服务器会发出一个访问令牌给客户端。
客户端使用访问令牌向资源服务器发起请求，请求访问资源。
资源服务器验证访问令牌是否有效，如果有效则向客户端提供资源。

如下图所示：

实现过程

具体来说，我们需要完成以下几个步骤：

步骤一：添加依赖项

首先，您需要在项目中添加 Spring Security OAuth2 依赖项。您可以在 Maven 中添加以下依赖项：

<dependency>
    <groupId>org.springframework.security.oauth</groupId>
    <artifactId>spring-security-oauth2</artifactId>
    <version>2.4.1.RELEASE</version>
</dependency>

步骤二：创建实体类

我们需要创建三个实体类，用于存储授权服务器、认证服务器和令牌相关的信息：

AuthorizationServer

// javascriptcn.com 代码示例
@Entity
public class AuthorizationServer {

    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private Long id;

    private String authorizationServerUrl;

    private String scope;

    private String clientId;

    private String clientSecret;

    // getters and setters
}

TokenInfo

// javascriptcn.com 代码示例
@Entity
public class TokenInfo {

    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private Long id;

    private String accessToken;

    private String refreshToken;

    private String tokenType;

    private long expiresIn;

    @ManyToOne(fetch = FetchType.LAZY)
    private AuthorizationServer authorizationServer;

    // getters and setters
}

UserTokenInfo

// javascriptcn.com 代码示例
@Entity
public class UserTokenInfo {

    @Id
    @GeneratedValue(strategy = GenerationType.AUTO)
    private Long id;

    private String username;

    @OneToOne(fetch = FetchType.LAZY, cascade = CascadeType.ALL)
    @JoinColumn(name = "token_info_id")
    private TokenInfo tokenInfo;

    // getters and setters
}

步骤三：配置 OAuth2

然后，我们需要创建一个 OAuth2 配置类，用于配置授权服务器和认证服务器的细节和行为。在这里，我们将使用 Spring Security OAuth2 给我们提供的默认配置。

// javascriptcn.com 代码示例
@Configuration
@EnableAuthorizationServer
public class OAuth2Config extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private TokenStore tokenStore;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
            .withClient("my-client")
            .secret("{noop}my-secret")
            .authorizedGrantTypes("authorization_code", "refresh_token", "password")
            .scopes("read", "write")
            .redirectUris("http://localhost:8080/api/auth")
            .accessTokenValiditySeconds(60 * 60 * 24)
            .refreshTokenValiditySeconds(60 * 60 * 24 * 30);
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authenticationManager)
            .tokenStore(tokenStore);
    }
}

步骤四：配置 security 和 web

接下来，我们需要在 security 和 web 中配置 OAuth2Security 配置类和 WebSecurity 配置类。

对于 OAuth2Security，我们需要使用 @EnableResourceServer 注释对其进行注释：

// javascriptcn.com 代码示例
@Configuration
@EnableWebSecurity
@EnableResourceServer
public class OAuth2Security extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .antMatchers("/").permitAll()
                .anyRequest().authenticated()
                .and()
                .csrf().disable();
    }

    ...
}

对于 WebSecurity，我们需要使用 @Order(1) 注释将其设置为第一个过滤器链：

// javascriptcn.com 代码示例
@Configuration
@EnableWebSecurity
@Order(1)
public class WebSecurity extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.antMatcher("/api/**").authorizeRequests().anyRequest().authenticated();
    }

    ...
}

步骤五：创建控制器

最后，创建一个控制器以处理身份验证和访问令牌的获取：

// javascriptcn.com 代码示例
@RestController
@RequestMapping("/oauth")
public class AuthController {

    @GetMapping("/authorize")
    public String authorize() {
        return "Authorizing...";
    }

    @GetMapping("/callback")
    public String callback(@RequestParam(name = "code") String code) {
        return "Callback...";
    }

    @PostMapping("/access-token")
    public String getAccessToken(@RequestBody String code) {
        return "Access token...";
    }

    @GetMapping("/refresh-token")
    public String refreshToken() {
        return "Refreshing token...";
    }
}

总结

通过以上步骤的实现，我们已经成功地在 RESTful API 中实现了 OAuth2 认证。学习并掌握 OAuth2 的实现细节，可以让我们更好地保障 API 的安全性，为用户提供更好的服务体验。

来源：JavaScript中文网，转载请注明来源本文地址：https://www.javascriptcn.com/post/6538aa337d4982a6eb19bbe2