Spring Security OAuth2.0(四) |
您所在的位置：网站首页 › spring securityjwt › Spring Security OAuth2.0(四) |
Spring Security OAuth2.0(四)
|
传统的通过 session 来记录用户认证信息的方式我们可以理解为这是一种有状态登录，而 JWT 则代表了一种无状态登录。「无状态登录天然的具备单点登录能力」 1. 无状态登录 1.1 什么是有状态有状态服务，即服务端需要记录每次会话的客户端信息，从而识别客户端身份，根据用户身份进行请求的处理，典型的设计如 Tomcat 中的 Session。例如登录：用户登录后，我们把用户的信息保存在服务端 session 中，并且给用户一个 cookie 值，记录对应的 session，然后下次请求，用户携带 cookie 值来（这一步有浏览器自动完成），我们就能识别到对应 session，从而找到用户的信息。这种方式目前来看最方便，但是也有一些缺陷，如下： 服务端保存大量数据，增加服务端压力服务端保存用户状态，不支持集群化部署 1.2 什么是无状态微服务集群中的每个服务，对外提供的都使用 RESTful 风格的接口。而 RESTful 风格的一个最重要的规范就是：服务的无状态性，即： 服务端不保存任何客户端请求者信息客户端的每次请求必须具备自描述信息，通过这些信息识别客户端身份那么这种无状态性有哪些好处呢？ 客户端请求不依赖服务端的信息，多次请求不需要必须访问到同一台服务器服务端的集群和状态对客户端透明服务端可以任意的迁移和伸缩（可以方便的进行集群化部署）减小服务端存储压力 1.3 如何实现无状态无状态登录的流程： 首先客户端发送账户名/密码到服务端进行认证认证通过后，服务端将用户信息加密并且编码成一个 token，返回给客户端以后客户端每次发送请求，都需要携带认证的 token服务端对客户端发送来的 token 进行解密，判断是否有效，并且获取用户登录信息 1.4 JWT 1.4.1 简介JWT，全称是 Json Web Token ， 是一种 JSON 风格的轻量级的授权和身份认证规范，可实现无状态、分布式的 Web 应用授权：https://jwt.io/ JWT 作为一种规范，并没有和某一种语言绑定在一起，常用的 Java 实现是 GitHub 上的开源项目 jjwt，地址如下：https://github.com/jwtk/jjwt 1.4.2 JWT 数据格式JWT 包含三部分数据： 1.Header：头部，通常头部有两部分信息： 声明类型，这里是JWT加密算法，自定义我们会对头部进行 Base64Url 编码（可解码），得到第一部分数据。2.Payload：载荷，就是有效数据，在官方文档中(RFC7519)，这里给了 7 个示例信息： iss (issuer)：表示签发人exp (expiration time)：表示token过期时间sub (subject)：主题aud (audience)：受众nbf (Not Before)：生效时间iat (Issued At)：签发时间jti (JWT ID)：编号这部分也会采用 Base64Url 编码，得到第二部分数据。3.Signature：签名，是整个数据的认证信息。一般根据前两步的数据，再加上服务的的密钥 secret（密钥保存在服务端，不能泄露给客户端），通过 Header 中配置的加密算法生成。用于验证整个数据完整和可靠性。 生成的数据格式如下图：
流程图：
说了这么多，JWT 也不是天衣无缝，由客户端维护登录状态带来的一些问题在这里依然存在，举例如下： 续签问题，这是被很多人诟病的问题之一，传统的 cookie+session 的方案天然的支持续签，但是 jwt 由于服务端不保存用户状态，因此很难完美解决续签问题，如果引入 redis，虽然可以解决问题，但是 jwt 也变得不伦不类了。注销问题，由于服务端不再保存用户信息，所以一般可以通过修改 secret 来实现注销，服务端 secret 修改后，已经颁发的未过期的 token 就会认证失败，进而实现注销，不过毕竟没有传统的注销方便。密码重置，密码重置后，原本的 token 依然可以访问系统，这时候也需要强制修改 secret。基于第 2 点和第 3 点，一般建议不同用户取不同 secret。 我们目前OAuth2存在的问题在前面的文章中，授权服务器派发了 access_token 之后，客户端拿着 access_token 去请求资源服务器，资源服务器要去校验 access_token 的真伪，所以我们在资源服务器上配置了 RemoteTokenServices，让资源服务器做远程校验： 首先我们来看对授权服务器authorization_server的改造，我们来修改 AccessTokenConfig 类，如下： package com.xql.authorization_server.config; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.data.redis.connection.RedisConnectionFactory; import org.springframework.security.oauth2.provider.token.TokenStore; import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter; import org.springframework.security.oauth2.provider.token.store.JwtTokenStore; @Configuration public class AccessTokenConfig { private String SIGNING_KEY = "xql"; @Autowired RedisConnectionFactory redisConnectionFactory; @Bean TokenStore tokenStore() { return new JwtTokenStore(jwtAccessTokenConverter()); } @Bean JwtAccessTokenConverter jwtAccessTokenConverter() { JwtAccessTokenConverter converter = new JwtAccessTokenConverter(); converter.setSigningKey(SIGNING_KEY); return converter; } }这里的改造主要是两方面： TokenStore 我们使用 JwtTokenStore 这个实例。之前我们将 access_token 无论是存储在内存中，还是存储在 Redis 中，都是要存下来的，客户端将 access_token 发来之后，我们还要校验看对不对。但是如果使用了 JWT，access_token 实际上就不用存储了（无状态登录，服务端不需要保存信息），因为用户的所有信息都在 jwt 里边，所以这里配置的 JwtTokenStore 本质上并不是做存储。另外我们还提供了一个 JwtAccessTokenConverter，这个 JwtAccessTokenConverter 可以实现将用户信息和 JWT 进行转换（将用户信息转为 jwt 字符串，或者从 jwt 字符串提取出用户信息）。另外，在 JWT 字符串生成的时候，我们需要一个签名，这个签名需要自己保存好。这里 JWT 默认生成的用户信息主要是用户角色、用户名等，如果我们希望在生成的 JWT 上面添加额外的信息，可以按照如下方式添加： package com.xql.authorization_server.config; import org.springframework.security.oauth2.common.DefaultOAuth2AccessToken; import org.springframework.security.oauth2.common.OAuth2AccessToken; import org.springframework.security.oauth2.provider.OAuth2Authentication; import org.springframework.security.oauth2.provider.token.TokenEnhancer; import org.springframework.stereotype.Component; import java.util.Map; @Component public class CustomAdditionalInformation implements TokenEnhancer { @Override public OAuth2AccessToken enhance(OAuth2AccessToken accessToken, OAuth2Authentication authentication) { Map info = accessToken.getAdditionalInformation(); info.put("author", "自律"); ((DefaultOAuth2AccessToken) accessToken).setAdditionalInformation(info); return accessToken; } }自定义类 CustomAdditionalInformation 实现 TokenEnhancer 接口，并实现接口中的 enhance 方法。enhance 方法中的 OAuth2AccessToken 参数就是已经生成的 access_token 信息，我们可以从 OAuth2AccessToken 中取出已经生成的额外信息，然后在此基础上追加自己的信息。 「需要提醒一句，其实我们配置的 JwtAccessTokenConverter 也是 TokenEnhancer 的一个实例」 配置完成之后，我们还需要在 AuthorizationServer 中修改 AuthorizationServerTokenServices 实例，如下： package com.xql.authorization_server.bean; import com.xql.authorization_server.config.CustomAdditionalInformation; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.context.properties.ConfigurationProperties; import org.springframework.boot.jdbc.DataSourceBuilder; import org.springframework.context.annotation.*; import org.springframework.security.oauth2.provider.ClientDetailsService; import org.springframework.security.oauth2.provider.client.JdbcClientDetailsService; import org.springframework.security.oauth2.provider.code.AuthorizationCodeServices; import org.springframework.security.oauth2.provider.code.InMemoryAuthorizationCodeServices; import org.springframework.security.oauth2.provider.token.AuthorizationServerTokenServices; import org.springframework.security.oauth2.provider.token.DefaultTokenServices; import org.springframework.security.oauth2.provider.token.TokenEnhancerChain; import org.springframework.security.oauth2.provider.token.TokenStore; import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter; import javax.annotation.Resource; import javax.sql.DataSource; import java.util.Arrays; /** * @author xuqinglei * @date 2023/04/21 08:37 **/ @Configuration public class AuthorizationBean { @Autowired private TokenStore tokenStore; @Autowired private ClientDetailsService clientDetailsService; @Autowired JwtAccessTokenConverter jwtAccessTokenConverter; @Autowired CustomAdditionalInformation customAdditionalInformation; @Bean public AuthorizationCodeServices authorizationCodeServices(){ //内存 return new InMemoryAuthorizationCodeServices(); //JdbcAuthorizationCodeServices } /** * 这个 Bean 主要用来配置 Token 的一些基本信息， * 例如 Token 是否支持刷新、Token 的存储位置、Token 的有效期以及刷新 Token 的有效期等等。 * Token 有效期这个好理解，刷新 Token 的有效期我说一下，当 Token 快要过期的时候， * 我们需要获取一个新的 Token，在获取新的 Token 时候，需要有一个凭证信息， * 这个凭证信息不是旧的 Token，而是另外一个 refresh_token，这个 refresh_token 也是有有效期的。 */ @Bean public AuthorizationServerTokenServices authorizationServerTokenServices() { DefaultTokenServices services = new DefaultTokenServices(); //客户端详情服务 services.setClientDetailsService(clientDetailsService); //允许令牌自动刷新 services.setSupportRefreshToken(true); //令牌存储策略-内存 services.setTokenStore(tokenStore); // 令牌默认有效期2小时 services.setAccessTokenValiditySeconds(60 * 60 * 2); // 刷新令牌默认有效期3天 services.setRefreshTokenValiditySeconds(60 * 60 * 24 * 3); TokenEnhancerChain tokenEnhancerChain = new TokenEnhancerChain(); tokenEnhancerChain.setTokenEnhancers(Arrays.asList(jwtAccessTokenConverter, customAdditionalInformation)); services.setTokenEnhancer(tokenEnhancerChain); return services; } // @Bean // @Primary // @ConfigurationProperties(prefix = "spring.datasource") // public DataSource dataSource() { // // 配置数据源（使用的是 HikariCP 连接池），以上注解是指定数据源，否则会有冲突 // return DataSourceBuilder.create().build(); // } }
接下来我们还需要对资源服务器进行改造，也就是resource_server，我们将上面的 AccessTokenConfig 类拷贝到 resource_server 中，然后在资源服务器配置中不再配置远程校验地址，而是配置一个 TokenStore 即可： package com.xql.resource_server.configuration; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.oauth2.provider.token.TokenStore; import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter; import org.springframework.security.oauth2.provider.token.store.JwtTokenStore; @Configuration public class AccessTokenConfig { private String SIGNING_KEY = "xql"; @Bean TokenStore tokenStore() { return new JwtTokenStore(jwtAccessTokenConverter()); } @Bean JwtAccessTokenConverter jwtAccessTokenConverter() { JwtAccessTokenConverter converter = new JwtAccessTokenConverter(); converter.setSigningKey(SIGNING_KEY); return converter; } } package com.xql.resource_server.configuration; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter; import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer; import org.springframework.security.oauth2.provider.token.TokenStore; @Configuration public class ResourceServerConfig extends ResourceServerConfigurerAdapter { @Autowired TokenStore tokenStore; // /** // * tokenServices 我们配置了一个 RemoteTokenServices 的实例， // * 这是因为资源服务器和授权服务器是分开的，资源服务器和授权服务器是放在一起的，就不需要配置 // * RemoteTokenServices 了。 // */ // @Bean // RemoteTokenServices tokenServices() { // RemoteTokenServices services = new RemoteTokenServices(); // services.setCheckTokenEndpointUrl("http://localhost:53020/uaa-service/oauth/check_token"); // services.setClientId("xql"); // services.setClientSecret("xql123"); // return services; // } /** * RemoteTokenServices 中我们配置了 access_token * 的校验地址、client_id、client_secret 这三个信息，当用户来资源服务器请求资源时， * 会携带上一个 access_token，通过这里的配置，就能够校验出 token 是否正确等 */ @Override public void configure(ResourceServerSecurityConfigurer resources) throws Exception { resources.resourceId("res1").tokenStore(tokenStore); } /** * 最后配置一下资源的拦截规则，这就是 Spring Security 中的基本写法，我就不再赘述。 */ @Override public void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/admin/**").hasRole("admin") .anyRequest().authenticated() .and().cors(); } }
测试流程和前几篇一样 走一遍流程都可以了 发现控制台打印 |
注意，这里的数据通过 . 隔开成了三部分，分别对应前面提到的三部分，另外，这里数据是不换行的，图片换行只是为了展示方便而已。
步骤翻译：
在高并发环境下这样的校验方式显然是有问题的，如果结合 JWT，用户的所有信息都保存在 JWT 中，这样就可以有效的解决上面的问题。
这里主要是是在 DefaultTokenServices 中配置 TokenEnhancer，将之前的 JwtAccessTokenConverter 和 CustomAdditionalInformation 两个实例注入进来即可。
这里配置好之后，会自动调用 JwtAccessTokenConverter 将 jwt 解析出来，jwt 里边就包含了用户的基本信息，所以就不用远程校验 access_token 了。
【本文地址】