spring security oauth2搭建resource-server demo及token改造成JWT令牌

我们在上文讲了如何在spring security的环境中搭建基于oauth2协议的认证中心demo：https://www.cnblogs.com/process-h/p/15688971.html, 对应的还应该要有一个resource server。本章主要就是讲resource server的demo搭建，并且再将普通的token改造成JWT令牌的形式以及为什么要改成JWT令牌格式。

自定义resource-server实现类

在搭建oauth2认证中心时，我们需要再自定义一个继承AuthorizationServerConfigurerAdapter的实现类，同时在该实现类上添加@EnableAuthorizationServer注解。同样的，我们也需要创建一个继承ResourceServerConfigurerAdapter的实现类，并在该实现类上添加@EnableResourceServer注解来声明这是一个资源服务。

@Configuration

@EnableResourceServer

public class ResouceServerConfig extends ResourceServerConfigurerAdapter {

}

我们来看看ResourceServerConfigurerAdapter父类，发现它重写了2个方法。以下是这2个方法中的参数对象可以配置的属性：

ResourceServerSecurityConfigurer中主要包括：

tokenServices：ResourceServerTokenServices 类的实例，用来实现令牌服务。
tokenStore：TokenStore类的实例，指定令牌如何访问。
resourceId：这个资源服务的ID，这个属性是可选的，但是推荐设置并在授权服务中进行验证。
其他的拓展属性例如 tokenExtractor 令牌提取器用来提取请求中的令牌。

HttpSecurity配置这个与Spring Security类似：

请求匹配器，用来设置需要进行保护的资源路径，默认的情况下是保护资源服务的全部路径。
通过http.authorizeRequests()来设置受保护资源的访问规则。
其他的自定义权限保护规则通过 HttpSecurity 来进行配置。

public class ResourceServerConfigurerAdapter implements ResourceServerConfigurer {

   @Override

   public void configure(ResourceServerSecurityConfigurer resources) throws Exception {

   }

   @Override

   public void configure(HttpSecurity http) throws Exception {

      http.authorizeRequests().anyRequest().authenticated();

   }

}

编写ResourceServerConfig

package com.peter.security.order.config;

import org.springframework.context.annotation.Bean;

import org.springframework.context.annotation.Configuration;

import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;

import org.springframework.security.config.annotation.web.builders.HttpSecurity;

import org.springframework.security.config.http.SessionCreationPolicy;

import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;

import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;

import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;

import org.springframework.security.oauth2.provider.token.RemoteTokenServices;

import org.springframework.security.oauth2.provider.token.ResourceServerTokenServices;

/**

 * @author huang

 * @description

 * @date 2021/12/17

 **/

@Configuration

@EnableResourceServer

@EnableGlobalMethodSecurity(prePostEnabled = true)

public class ResouceServerConfig extends ResourceServerConfigurerAdapter {

    public static final String RESOURCE_ID = "res1";

    //资源服务令牌解析服务

    @Bean

    public ResourceServerTokenServices tokenService() {

        //使用远程服务请求授权服务器校验token,必须指定校验token 的url、client_id，client_secret

        RemoteTokenServices service=new RemoteTokenServices();

       service.setCheckTokenEndpointUrl("http://localhost:53020/uaa/oauth/check_token");

        // 声明只有该client 的接入方才能访问该资源服务

        service.setClientId("c1");

        service.setClientSecret("secret");

        return service;

    }

    @Override

    public void configure(ResourceServerSecurityConfigurer resources) {

        // 声明该资源服务id，以及认证的tokenSerivce对象

        resources.resourceId(RESOURCE_ID)

                .tokenServices(tokenService());

    }

    @Override

    public void configure(HttpSecurity http) throws Exception {

        http

                .authorizeRequests()

// 访问该资源服务的client的scope要有all权限

            	.antMatchers("/**").access("#oauth2.hasScope('all')")

                .and().csrf().disable()

                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

    }

}

定义资源服务接口

有了配置，还需要暴露出一些资源接口给外部调用，我们这里简单定义一个接口。

package com.peter.security.order.controller;

import org.springframework.security.access.prepost.PreAuthorize;

import org.springframework.web.bind.annotation.GetMapping;

import org.springframework.web.bind.annotation.RestController;

/**

 * @author huangyizeng

 * @description

 * @date 2021/12/17

 **/

@RestController

public class OrderController {

    // 访问该资源的用户要有P1权限

    @GetMapping(value = "/r1")

    @PreAuthorize("hasAnyAuthority('p1')")

    public String r1(){

        return "访问资源1";

    }

}

示例

1、申请token

我们知道Oauth2协议有4中授权方式，分别是：

授权码（authorization_code）：第三方应用先申请一个授权码，然后再用该码获取令牌。
密码（password）：使用用户名密码进行获取token，一般是高度信任的应用（内部系统应用）。
客户端（client_credentials）：没有前端，只有后端应用。
简化（implicit）：有些web是纯前端应用，没有后端，将token存放在前端。

使用哪一种授权方式都是可以的，在前面一节我们使用了授权码方式进行获取：https://www.cnblogs.com/process-h/p/15688971.html。在这里我们使用密码授权方式进行获取token，启动授权服务后，我们访问获取token端点：

http://localhost:53020/uaa/oauth/token?client_id=c1&client_secret=secret&grant_type=password&username=hyz&password=hyz

2、查看token代表了哪些信息

spring security oauth2 中有个用于资源服务访问的令牌解析端点（/oauth/check_token )。我们先来看看上面返回的token中都有哪些权限，访问

http://localhost:53020/uaa/oauth/check_token?token=c46ffcf5-3043-4513-9405-808f89b02f30

可以看到返回以下属性信息：

第三方client的基本信息：user_name\client_Id\scope
第三方client的授权列表：authorities
第三方client的资源服务列表：res1

如果我们传入一个不存在的token，那么将会返回

{

    "error": "invalid_token",

    "error_description": "Token was not recognised"

}

3、使用token访问资源服务

最后我们再来使用该token访问资源服务。oauth2.0 要求将token根据具体的格式放在请求头中：Authorization: Bearer token

如上图，资源服务在接收到token参数后，会到授权服务的/oauth/check_token端点拿到该token的权限，然后与资源服务定义的授权进行比对，如果符合就继续执行，否则返回

{

    "error": "invalid_token",

    "error_description": "c46ffcf5-3043-4513-9405-808f89b02f301"

}

JWT令牌

通过上面的测试，当资源服务和授权服务不在一起时，资源服务需要通过网络请求去授权服务的/token/check_token端点请求验证token，如果访问量较大将会影响系统的性能。

为了解决性能问题，可以将token令牌采用jwt格式，这样用户授权后通过后将会拿到一个JWT令牌，JWT令牌中已经包含了用户相关的信息，包括权限，基本信息等，接着资源服务根据事先跟认证服务约定好的算法自行进行令牌校验，无需每次都想认证服务请求验证。

JWT具体是什么，相信童鞋们也有一定的认识了，这里不过多说明。主要说明一点，一般JWT是是用非对称加密使用的，在这里我们使用对称加密的方式，省去非对称加密密钥生成步骤。

1、配置认证服务JWT令牌

在认证服务中配置JWT令牌，即可实现生成JWT格式的令牌。

TokenConfig ，修改tokenService的实现类。

@Configuration

public class TokenConfig {

    private String SIGNING_KEY = "uaa123";

    @Bean

    public TokenStore tokenStore() {

        return new JwtTokenStore(accessTokenConverter());

    }

    @Bean

    public JwtAccessTokenConverter accessTokenConverter() {

        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();

        converter.setSigningKey(SIGNING_KEY); //对称秘钥，资源服务器使用该秘钥来验证

        return converter;

    }

}

定义使用JWT令牌

public class AuthorizationServer extends AuthorizationServerConfigurerAdapter {

    @Autowired

    private JwtAccessTokenConverter accessTokenConverter;

     @Bean

    public AuthorizationServerTokenServices tokenService() {

        DefaultTokenServices service=new DefaultTokenServices();

        service.setClientDetailsService(clientDetailsService);

        service.setSupportRefreshToken(true);

        // 定义使用JWT令牌

        service.setTokenStore(tokenStore);

        TokenEnhancerChain tokenEnhancerChain = new TokenEnhancerChain();

        tokenEnhancerChain.setTokenEnhancers(Arrays.asList(accessTokenConverter));

        service.setTokenEnhancer(tokenEnhancerChain);

        service.setAccessTokenValiditySeconds(7200); // 令牌默认有效期2小时

        service.setRefreshTokenValiditySeconds(259200); // 刷新令牌默认有效期3天

        return service;

    }

}

检验令牌，根据密码授权模式来获取令牌：

由上图可见，生成的令牌确实已经是JWT的格式了。

再查看该令牌中代表了哪些信息。访问

http://localhost:53020/uaa/oauth/check_token?token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsicmVzMSJdLCJ1c2VyX25hbWUiOiJ7XCJmdWxsbmFtZVwiOlwiaHl6XCIsXCJpZFwiOlwiMVwiLFwicGFzc3dvcmRcIjpcIiQyYSQxMCRJdm94aUN3eEdXWkdFemxkcVY2bktPcUxuY05zMmNVdkdsQ2ZmZ1V0a2hZaGc4dUo0akd5eVwiLFwidXNlcm5hbWVcIjpcImh5elwifSIsInNjb3BlIjpbImFsbCJdLCJleHAiOjE2Mzk4MTk4ODgsImF1dGhvcml0aWVzIjpbInAxIiwicDMiXSwianRpIjoiNDAzNWU3NTItNmYzNS00Y2RhLTg0ZTgtNjEyZmFhZWI2OWFkIiwiY2xpZW50X2lkIjoiYzEifQ.VIzqACiYJ-ZCTrq1BkOM_HeXkTwE9tAZ3TSiy7B9pJ4

确实访问了在上面实例中的client相关信息：

{

    "aud": [

        "res1"

    ],

    "user_name": "{\"fullname\":\"hyz\",\"id\":\"1\",\"password\":\"$2a$10$IvoxiCwxGWZGEzldqV6nKOqLncNs2cUvGlCffgUtkhYhg8uJ4jGyy\",\"username\":\"hyz\"}",

    "scope": [

        "all"

    ],

    "exp": 1639819888,

    "authorities": [

        "p1",

        "p3"

    ],

    "jti": "4035e752-6f35-4cda-84e8-612faaeb69ad",

    "client_id": "c1"

}

由此可见，基于JWT的改造已经完成。

2、修改资源服务检验令牌配置

资源服务需要和授权服务拥有一致的签字、令牌服务等：

将认证服务中的TokenConfig类拷贝到资源服务中
将授权服务中的TokenConfig类拷贝到资源服务中

public class ResouceServerConfig extends ResourceServerConfigurerAdapter {

    public static final String RESOURCE_ID = "res1";

    @Autowired

    private TokenStore tokenStore;

    //资源服务令牌解析服务

//    @Bean

//    public ResourceServerTokenServices tokenService() {

//        //使用远程服务请求授权服务器校验token,必须指定校验token 的url、client_id，client_secret

//        RemoteTokenServices service=new RemoteTokenServices();

//        service.setCheckTokenEndpointUrl("http://localhost:53020/uaa/oauth/check_token");

//        service.setClientId("c1");

//        service.setClientSecret("secret");

//        return service;

//    }

    @Override

    public void configure(ResourceServerSecurityConfigurer resources) {

        resources.resourceId(RESOURCE_ID)

                .tokenStore(tokenStore);

    }

}

验证令牌是否有效

我们再次使用上面基于JWT生成的令牌去访问资源服务：

由上图可知是可以正常访问的，如果该令牌有误，则会返回

{

    "error": "invalid_token",

    "error_description": "Cannot convert access token to JSON"

}

到这里，本篇就结束了，我们总结一下：

使用基本的token，需要去认证中心验证token是否有效等，在高并发时会有性能问题
令牌改成JWT格式，解决了性能问题，当然也可以考虑将令牌存放在redis中也可以解决性能问题
本文栗子中使用对称加密的JWT令牌，生产环境肯定是使用非对称加密的密钥对（如何配置，童鞋们可以实践一下）

spring security相关的内容就写到这里，在spring security 及Oauth2的源码中发现了许多不明白的地方，之前spring的源码由粗略看到一部分，现在觉得还是需要再回头看看spring源码，所以后续会分享spring源码的章节。