SpringBootSecurity學習(15)前後端分離版之 OAuth2.0簡單示例

来源:https://www.cnblogs.com/guos/archive/2019/10/07/11632713.html
-Advertisement-
Play Games

OAuth2.0 OAuth 引入了一個授權層,用來分離兩種不同的角色:客戶端和資源所有者。客戶端來申請資源,資源所有者同意以後,資源伺服器可以向客戶端頒發令牌。客戶端通過令牌,去請求數據。也就是說,OAuth 的核心就是向第三方應用頒發令牌。而且,OAuth 2.0 規定了四種獲得令牌的流程。你可 ...


OAuth2.0

OAuth 引入了一個授權層,用來分離兩種不同的角色:客戶端和資源所有者。客戶端來申請資源,資源所有者同意以後,資源伺服器可以向客戶端頒發令牌。客戶端通過令牌,去請求數據。也就是說,OAuth 的核心就是向第三方應用頒發令牌。而且,OAuth 2.0 規定了四種獲得令牌的流程。你可以選擇最適合自己的那一種,向第三方應用頒發令牌。

具體的OAuth學習建議仔細研讀阮一峰的教程,

  • http://www.ruanyifeng.com/blog/2019/04/oauth_design.html

下麵我們來使用spring cloud security 和 spring cloud oauth2兩個組件來簡單實現授權流程。

授權服務

下麵我們來使用spring cloud security 實現一個授權服務,首先來引入依賴:

file

除了一個web組件,只引入了一個spring-cloud-starter-oauth2,這是因為spring cloud下的oauth2組件已經包含了security:

file

首先寫一個正常的登錄功能,application配置文件和啟動類都不用增加特殊配置,主要來配置security配置類:

file

這裡面基本沒有特殊的配置,都是前面遇到過的熟悉的配置。有了這個配置類,基本的登錄功能就有了,要想有授權功能,還需要一個授權配置類,授權配置類需要繼承 AuthorizationServerConfigurerAdapter 類,並引入 @EnableAuthorizationServer 註解:

file

首先配置一個客戶端:

file

然後配置token的存儲和管理,此處使用secret作為秘鑰,後面會介紹使用非對稱加密的方式 :

file

上面的token存儲在了記憶體中,token也可以存儲在資料庫或者redis中。最後配置授權端點的訪問控制:

file

以上就是一個簡答的授權服務。

資源服務

下麵來搭建一個資源服務,其實授權和資源服務是可以合二為一的,此處為了清晰,將它們分開。pom中引入的依賴和授權服務是一樣的,同樣,配置文件和啟動類不需要做特殊配置。首先來寫兩個簡單的介面,一個定義為受保護,另一個不受保護:

file

然後定義一個資源服務配置類,需要繼承 ResourceServerConfigurerAdapter 類,並引入 @EnableResourceServer 註解:

file

首先來看令牌驗證的配置:

file

然後來看介面資源的攔截規則:

file

save開頭的可以直接訪問,不會被攔截,/user/save介面會被驗證。

註意上面配置的clientId和secret都是單一的配置死的,如果需要對多客戶端動態進行認真,需要重寫,後面是通過http調用的方式解析訪問令牌(主要是通過訪問授權服務的/oauth/check_token解析)。

測試

我們來根據前面說到的流程測試,首先向授權服務申請一個授權碼:

  • http://localhost:8015/oauth/authorize?client_id=clientId&response_type=code&redirect_uri=http://localhost:8015/

訪問首先會跳轉到登錄頁面:

file

輸入配置中預設的用戶名密碼登錄,然後進入下一個頁面:

file

這個頁面是真正的授權頁面,選擇Approve,點擊按鈕,同意授權,授權碼會通過回調地址獲取,如下圖:

file

然後攜帶授權碼申請訪問令牌,需要訪問下麵的地址(需要使用post方式):

  • http://localhost:8015/oauth/token?grant_type=authorization_code&code=授權碼&redirect_uri=http://localhost:8015/&client_id=clientId&client_secret=secret

將授權碼替換上面地址中的授權碼三個字,然後在postman中訪問:

file

其返回結果中,包含access_token參數,就是我們需要的訪問令牌,token_type 參數說明瞭令牌的類型,一般類型為bearer或者refresh_token可以在訪問令牌過期後向授權服務申請新的令牌,expires_in參數是令牌的有效時間,單位是秒,圖中顯示預設是12個小時。令牌已經得到了,下麵來訪問資源介面,首先試一下不受保護的資源:

file

可以看到直接就能訪問,然後訪問受保護的資源介面:

file

得到這樣的結果說明該介面需要認證,我們來使用我們前面得到的令牌來訪問,首先選擇正確的認真協議:

file

然後在右側填寫前面獲取的access_token:

file

然後訪問介面,就能看到受保護的資源通過令牌可以訪問:

file

代碼地址 : https://gitee.com/blueses/spring-boot-security 15 和 16


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 1.代碼生成器: [正反雙向](單表、主表、明細表、樹形表,快速開發利器)freemaker模版技術 ,0個代碼不用寫,生成完整的一個模塊,帶頁面、建表sql腳本、處理類、service等完整模塊2.多數據源:(支持同時連接無數個資料庫,可以不同的模塊連接不同數的據庫)支持N個數據源3.阿裡資料庫連 ...
  • 1. final關鍵字 1.1 final的概念 繼承的出現提高了代碼的復用性,並方便開發。但隨之也有問題,有些類在描述完之後,不想被繼承,或者有些類中的部分方法功能是固定的,不想讓子類重寫。可是當子類繼承了這些特殊類之後,就可以對其中的方法進行重寫,那怎麼解決呢? 要解決上述的這些問題,需要使用到 ...
  • GoLang 開山篇 1、Golang 的學習方向 Go語言,我們可以簡單的寫成Golang. 2、GoLang 的應用領域 2.1 區塊鏈的應用開發 2.2 後臺的服務應用 2.3 雲計算/雲服務後臺應用 3、學習方法的介紹 建立一個整體框架、然後細節 在實際工作中,要培養用到什麼,能夠快速學習什 ...
  • 一、遞歸 1、遞歸的定義 在一個函數內部調用函數自身。 2、遞歸的最大深度--996 修改最大深度 我們會發現,將遞歸的最大深度改成100000後,並沒有達到100000,這是由我們的電腦性能決定的。 3、遞歸的特點 (1)調用自身 (2)必須要有結束條件 4、實例 菲波那切數列:0 1 1 2 ...
  • python day4 元組/字典/集合類知識點補充 (學習資源來自老男孩教育) 2019/10/7 [TOC] 1. 元組tuple知識點補充 創建和轉換 ,比如 元組的特性 元組的特性:元組的元素不可修改,但是元素的元素可以被修改。即元組的兒子不能變,但是元組的孫子可以變。 2. 字典dict的 ...
  • 1. 構造方法 我們對封裝已經有了基本的瞭解,接下來我們來看一個新的問題,依然以Person為例,由於Person中的屬性都被private了,外界無法直接訪問屬性,必須對外提供相應的set和get方法。當創建人對象的時候,人對象一創建就要明確其姓名和年齡,那該怎麼做呢? 1.1 構造方法介紹 在開 ...
  • requests,發送http請求(用python模擬瀏覽器瀏覽網頁)requests.get("http://www.baidu.com") 示例: 1 import requests 2 response = requests.get("http://www.weather.com.cn/ada ...
  • 1. 介面 1.1 介面概念 介面是功能的集合,同樣可看做是一種數據類型,是比抽象類更為抽象的”類”。 介面只描述所應該具備的方法,並沒有具體實現,具體的實現由介面的實現類(相當於介面的子類)來完成。這樣將功能的定義與實現分離,優化了程式設計。 請記住:一切事物均有功能,即一切事物均有介面。 1.2 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發(一):使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說,近來想嘗試開發一款安卓APP,考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP,畢竟是使用Visual Studio開發工具,使用起來也比較的順手,結合微軟官方的教程進行了安卓 ...
  • 前言 QuestPDF 是一個開源 .NET 庫,用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫,它徹底改變了我們生成 PDF 文檔的方 ...
  • 項目地址 項目後端地址: https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址: ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址: http://tree ...
  • 話不多說,直接開乾 一.下載 1.官方鏈接下載: https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe,運行開始下載SQL server; 二. ...
  • 前言 隨著物聯網(IoT)技術的迅猛發展,MQTT(消息隊列遙測傳輸)協議憑藉其輕量級和高效性,已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫,為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog支持多種接收器用於日誌存儲,增強器用於添加屬性,LogContext管理動態屬性,支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項,適用於不同需求。 ...
  • 目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據,爬取信息時需要模擬瀏覽器行為,否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下: 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • 1.前言 什麼是熱更新 游戲或者軟體更新時,無需重新下載客戶端進行安裝,而是在應用程式啟動的情況下,在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR,Xlua,ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles,Addressable, ...
  • 本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺,其實像阿裡雲,騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後,它會送 ...
  • 通過以下方式可以高效,並保證數據同步的可靠性 1.API設計 使用RESTful設計,確保API端點明確,並使用適當的HTTP方法(如POST用於創建,PUT用於更新)。 設計清晰的請求和響應模型,以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證,確保接收到的數據符合預期格 ...