一、什么是OAuth2協(xié)議？

OAuth 2.0 是一個(gè)關(guān)于授權(quán)的開放的網(wǎng)絡(luò)協(xié)議，是目前最流行的授權(quán)機(jī)制。

數(shù)據(jù)的所有者告訴系統(tǒng)，同意授權(quán)第三方應(yīng)用進(jìn)入系統(tǒng)，獲取這些數(shù)據(jù)。系統(tǒng)從而產(chǎn)生一個(gè)短期的進(jìn)入令牌（token），用來代替密碼，供第三方應(yīng)用使用。

由于授權(quán)的場(chǎng)景眾多，OAuth 2.0 協(xié)議定義了獲取令牌的四種授權(quán)方式，分別是：

授權(quán)碼模式：授權(quán)碼模式（authorization code）是功能最完整、流程最嚴(yán)密的授權(quán)模式。它的特點(diǎn)就是通過客戶端的后臺(tái)服務(wù)器，與'服務(wù)提供商'的認(rèn)證服務(wù)器進(jìn)行互動(dòng)。 簡(jiǎn)化模式：簡(jiǎn)化模式（implicit grant type）不通過第三方應(yīng)用程序的服務(wù)器，直接在瀏覽器中向認(rèn)證服務(wù)器申請(qǐng)令牌，跳過了'授權(quán)碼'這個(gè)步驟，因此得名。所有步驟在瀏覽器中完成，令牌對(duì)訪問者是可見的，且客戶端不需要認(rèn)證。 密碼模式：密碼模式（Resource Owner Password Credentials Grant）中，用戶向客戶端提供自己的用戶名和密碼。客戶端使用這些信息，向'服務(wù)商提供商'索要授權(quán)。 客戶端模式：客戶端模式（Client Credentials Grant）指客戶端以自己的名義，而不是以用戶的名義，向'服務(wù)提供商'進(jìn)行認(rèn)證。嚴(yán)格地說，客戶端模式并不屬于OAuth框架所要解決的問題。在這種模式中，用戶直接向客戶端注冊(cè)，客戶端以自己的名義要求'服務(wù)提供商'提供服務(wù)，其實(shí)不存在授權(quán)問題。

四種授權(quán)模式分別使用不同的 grant_type 來區(qū)分

二、為什么要自定義授權(quán)類型？

雖然 OAuth2 協(xié)議定義了4種標(biāo)準(zhǔn)的授權(quán)模式，但是在實(shí)際開發(fā)過程中還是遠(yuǎn)遠(yuǎn)滿足不了各種變態(tài)的業(yè)務(wù)場(chǎng)景，需要我們?nèi)U(kuò)展。

例如增加圖形驗(yàn)證碼、手機(jī)驗(yàn)證碼、手機(jī)號(hào)密碼登錄等等的場(chǎng)景

而常見的做法都是通過增加 過濾器Filter 的方式來擴(kuò)展 Spring Security 授權(quán)，但是這樣的實(shí)現(xiàn)方式有兩個(gè)問題：

脫離了 OAuth2 的管理 不靈活：例如系統(tǒng)使用 密碼模式 授權(quán)，網(wǎng)頁版需要增加圖形驗(yàn)證碼校驗(yàn)，但是手機(jī)端APP又不需要的情況下，使用增加 Filter 的方式去實(shí)現(xiàn)就比較麻煩了。

所以目前在 Spring Security 中比較優(yōu)雅和靈活的擴(kuò)展方式就是通過自定義 grant_type 來增加授權(quán)模式。

三、實(shí)現(xiàn)思路

在擴(kuò)展之前首先需要先了解 Spring Security 的整個(gè)授權(quán)流程，我以 密碼模式 為例去展開分析，如下圖所示

3.1. 流程分析

整個(gè)授權(quán)流程關(guān)鍵點(diǎn)分為以下兩個(gè)部分：

第一部分：關(guān)于授權(quán)類型 grant_type 的解析

每種 grant_type 都會(huì)有一個(gè)對(duì)應(yīng)的 TokenGranter 實(shí)現(xiàn)類。 所有 TokenGranter 實(shí)現(xiàn)類都通過 CompositeTokenGranter 中的 tokenGranters 集合存起來。 然后通過判斷 grantType 參數(shù)來定位具體使用那個(gè) TokenGranter 實(shí)現(xiàn)類來處理授權(quán)。

第二部分：關(guān)于授權(quán)登錄邏輯

每種 授權(quán)方式 都會(huì)有一個(gè)對(duì)應(yīng)的 AuthenticationProvider 實(shí)現(xiàn)類來實(shí)現(xiàn)。 所有 AuthenticationProvider 實(shí)現(xiàn)類都通過 ProviderManager 中的 providers 集合存起來。 TokenGranter 類會(huì) new 一個(gè) AuthenticationToken 實(shí)現(xiàn)類，如 UsernamePasswordAuthenticationToken 傳給 ProviderManager 類。 而 ProviderManager 則通過 AuthenticationToken 來判斷具體使用那個(gè) AuthenticationProvider 實(shí)現(xiàn)類來處理授權(quán)。

具體的登錄邏輯由 AuthenticationProvider 實(shí)現(xiàn)類來實(shí)現(xiàn)，如 DaoAuthenticationProvider。

3.2. 擴(kuò)展分析

根據(jù)上面的流程，擴(kuò)展分為以下兩種場(chǎng)景

場(chǎng)景一：只對(duì)原有的授權(quán)邏輯進(jìn)行增強(qiáng)或者擴(kuò)展，如：用戶名密碼登錄前增加圖形驗(yàn)證碼校驗(yàn)。

該場(chǎng)景需要定義一個(gè)新的 grantType 類型，并新增對(duì)應(yīng)的 TokenGranter 實(shí)現(xiàn)類 添加擴(kuò)展內(nèi)容，然后加到 CompositeTokenGranter 中的 tokenGranters 集合里即可。

參考代碼：PwdImgCodeGranter.java

場(chǎng)景二：新加一種授權(quán)方式，如：手機(jī)號(hào)加密碼登錄。

該場(chǎng)景需要實(shí)現(xiàn)以下內(nèi)容：

定義一個(gè)新的 grantType 類型，并新增對(duì)應(yīng)的 TokenGranter 實(shí)現(xiàn)類添加到 CompositeTokenGranter 中的 tokenGranters 集合里 新增一個(gè) AuthenticationToken 實(shí)現(xiàn)類，用于存放該授權(quán)所需的信息。 新增一個(gè) AuthenticationProvider 實(shí)現(xiàn)類 實(shí)現(xiàn)授權(quán)的邏輯，并重寫 supports 方法綁定步驟二的 AuthenticationToken 實(shí)現(xiàn)類

參考代碼：MobilePwdGranter.java

四、代碼實(shí)現(xiàn)

下面以 場(chǎng)景二 新增手機(jī)號(hào)加密碼授權(quán)方式為例，展示核心的代碼實(shí)現(xiàn)

4.1. 創(chuàng)建 AuthenticationToken 實(shí)現(xiàn)類

創(chuàng)建 MobileAuthenticationToken 類，用于存儲(chǔ)手機(jī)號(hào)和密碼信息

public class MobileAuthenticationToken extends AbstractAuthenticationToken {private static final long serialVersionUID = SpringSecurityCoreVersion.SERIAL_VERSION_UID;private final Object principal;private Object credentials;public MobileAuthenticationToken(String mobile, String password) {super(null);this.principal = mobile;this.credentials = password;setAuthenticated(false);}public MobileAuthenticationToken(Object principal, Object credentials, Collection<? extends GrantedAuthority> authorities) {super(authorities);this.principal = principal;this.credentials = credentials;super.setAuthenticated(true);}@Overridepublic Object getCredentials() {return this.credentials;}@Overridepublic Object getPrincipal() {return this.principal;}@Overridepublic void setAuthenticated(boolean isAuthenticated) {if (isAuthenticated) {throw new IllegalArgumentException('Cannot set this token to trusted - use constructor which takes a GrantedAuthority list instead');}super.setAuthenticated(false);}@Overridepublic void eraseCredentials() {super.eraseCredentials();}}

4.2. 創(chuàng)建 AuthenticationProvider 實(shí)現(xiàn)類

創(chuàng)建 MobileAuthenticationProvider 類，實(shí)現(xiàn)登錄邏輯，并綁定 MobileAuthenticationToken 類

@Setterpublic class MobileAuthenticationProvider implements AuthenticationProvider { private ZltUserDetailsService userDetailsService; private PasswordEncoder passwordEncoder; @Override public Authentication authenticate(Authentication authentication) { MobileAuthenticationToken authenticationToken = (MobileAuthenticationToken) authentication; String mobile = (String) authenticationToken.getPrincipal(); String password = (String) authenticationToken.getCredentials(); UserDetails user = userDetailsService.loadUserByMobile(mobile); if (user == null) { throw new InternalAuthenticationServiceException('手機(jī)號(hào)或密碼錯(cuò)誤'); } if (!passwordEncoder.matches(password, user.getPassword())) { throw new BadCredentialsException('手機(jī)號(hào)或密碼錯(cuò)誤'); } MobileAuthenticationToken authenticationResult = new MobileAuthenticationToken(user, password, user.getAuthorities()); authenticationResult.setDetails(authenticationToken.getDetails()); return authenticationResult; } @Override public boolean supports(Class<?> authentication) { return MobileAuthenticationToken.class.isAssignableFrom(authentication); }}

4.3. 創(chuàng)建 TokenGranter 實(shí)現(xiàn)類

創(chuàng)建 MobilePwdGranter 類并定義 grant_type 的值為 mobile_password

public class MobilePwdGranter extends AbstractTokenGranter { private static final String GRANT_TYPE = 'mobile_password'; private final AuthenticationManager authenticationManager; public MobilePwdGranter(AuthenticationManager authenticationManager, AuthorizationServerTokenServices tokenServices , ClientDetailsService clientDetailsService, OAuth2RequestFactory requestFactory) { super(tokenServices, clientDetailsService, requestFactory, GRANT_TYPE); this.authenticationManager = authenticationManager; } @Override protected OAuth2Authentication getOAuth2Authentication(ClientDetails client, TokenRequest tokenRequest) { Map<String, String> parameters = new LinkedHashMap<>(tokenRequest.getRequestParameters()); String mobile = parameters.get('mobile'); String password = parameters.get('password'); parameters.remove('password'); Authentication userAuth = new MobileAuthenticationToken(mobile, password); ((AbstractAuthenticationToken) userAuth).setDetails(parameters); userAuth = authenticationManager.authenticate(userAuth); if (userAuth == null || !userAuth.isAuthenticated()) { throw new InvalidGrantException('Could not authenticate mobile: ' + mobile); } OAuth2Request storedOAuth2Request = getRequestFactory().createOAuth2Request(client, tokenRequest); return new OAuth2Authentication(storedOAuth2Request, userAuth); }}

4.4. 加到 CompositeTokenGranter 中的集合里

// 添加手機(jī)號(hào)加密碼授權(quán)模式tokenGranters.add(new MobilePwdGranter(authenticationManager, tokenServices, clientDetailsService, requestFactory));

4.5. 測(cè)試

使用以下地址，指定 grant_type 為 mobile_password 進(jìn)行授權(quán)獲取 access_token

/oauth/token?grant_type=mobile_password&mobile={mobile}&password={password}

五、參考樣例

詳細(xì)的代碼實(shí)現(xiàn)可以參考

https://gitee.com/zlt2000/microservices-platform/tree/master/zlt-uaa

到此這篇關(guān)于Spring Security如何優(yōu)雅的增加OAuth2協(xié)議授權(quán)模式的文章就介紹到這了,更多相關(guān)Spring Security OAuth2內(nèi)容請(qǐng)搜索好吧啦網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持好吧啦網(wǎng)！