设计并开发一个开放平台。
一、设计：
文章图片

网关可以 与认证授权服务合在一起，也可以分开。
二、开发与实现： 用Oauth2技术对访问受保护的资源的客户端进行认证与授权。
Oauth2技术应用的关键是：
1）服务器对OAuth2客户端进行认证与授权。
2）Token的发放。
3）通过access_token访问受OAuth2保护的资源。
选用的关键技术：Springboot, Spring-security, Spring-security-oauth2。
提供一个简化版，用户、token数据保存在内存中，用户与客户端的认证授权服务、资源服务，都是在同一个工程中。现实项目中，技术架构通常上将用户与客户端的认证授权服务设计在一个子系统（工程）中，而资源服务设计为另一个子系统（工程）。
1、Spring-security对用户身份进行认证授权：
主要作用是对用户身份通过用户名与密码的方式进行认证并且授权。

package com.banling.oauth2server.config; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.authentication.AuthenticationManager; import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter; import org.springframework.security.web.util.matcher.AntPathRequestMatcher; @Configuration@EnableWebSecuritypublic class SecurityConfig extends WebSecurityConfigurerAdapter{ @Autowiredpublic void globalUserDetails(AuthenticationManagerBuilder auth) throws Exception {//用户信息保存在内存中//在鉴定角色roler时，会默认加上ROLLER_前缀auth.inMemoryAuthentication().withUser("user").password("user").roles("USER").and().withUser("test").password("test").roles("TEST"); } @Overrideprotected void configure(HttpSecurity http) throws Exception {http.formLogin() //登记界面，默认是permit All.and().authorizeRequests().antMatchers("/","/home").permitAll() //不用身份认证可以访问.and().authorizeRequests().anyRequest().authenticated() //其它的请求要求必须有身份认证.and().csrf() //防止CSRF（跨站请求伪造）配置.requireCsrfProtectionMatcher(new AntPathRequestMatcher("/oauth/authorize")).disable(); } @Override@Beanpublic AuthenticationManager authenticationManagerBean() throws Exception {return super.authenticationManagerBean(); }}

配置用户信息，保存在内存中。也可以自定义将用户数据保存在数据库中，实现UserDetailsService接口，进行认证与授权，略。
配置访问哪些URL需要授权。必须配置authorizeRequests()，否则启动报错，说是没有启用security技术。
注意，在这里的身份进行认证与授权没有涉及到OAuth的技术：
当访问要授权的URL时，请求会被DelegatingFilterProxy拦截，如果还没有授权，请求就会被重定向到登录界面。在登录成功（身份认证并授权）后，请求被重定向至之前访问的URL。
2、OAuth2的授权服务：
主要作用是OAuth2的客户端进行认证与授权。

package com.banling.oauth2server.config; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.authentication.AuthenticationManager; import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer; import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter; import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer; import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerEndpointsConfigurer; import org.springframework.security.oauth2.config.annotation.web.configurers.AuthorizationServerSecurityConfigurer; import org.springframework.security.oauth2.provider.approval.ApprovalStore; import org.springframework.security.oauth2.provider.approval.TokenApprovalStore; import org.springframework.security.oauth2.provider.token.TokenStore; import org.springframework.security.oauth2.provider.token.store.InMemoryTokenStore; @Configuration@EnableAuthorizationServerpublic class AuthServerConfig extends AuthorizationServerConfigurerAdapter{ @Autowired private TokenStore tokenStore; @Autowiredprivate AuthenticationManager authenticationManager; @Autowired private ApprovalStore approvalStore; @Overridepublic void configure(ClientDetailsServiceConfigurer clients) throws Exception {//添加客户端信息//使用内存存储OAuth客户端信息clients.inMemory()// client_id.withClient("client")// client_secret.secret("secret")// 该client允许的授权类型，不同的类型，则获得token的方式不一样。.authorizedGrantTypes("authorization_code","implicit","refresh_token").resourceIds("resourceId")//回调uri，在authorization_code与implicit授权方式时，用以接收服务器的返回信息.redirectUris("http://localhost:8090/")// 允许的授权范围.scopes("app","test"); } @Overridepublic void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {//reuseRefreshTokens设置为false时，每次通过refresh_token获得access_token时，也会刷新refresh_token；也就是说，会返回全新的access_token与refresh_token。//默认值是true，只返回新的access_token，refresh_token不变。endpoints.tokenStore(tokenStore).approvalStore(approvalStore).reuseRefreshTokens(false).authenticationManager(authenticationManager); } @Overridepublic void configure(AuthorizationServerSecurityConfigurer security) throws Exception {security.realm("OAuth2-Sample").allowFormAuthenticationForClients().tokenKeyAccess("permitAll()").checkTokenAccess("isAuthenticated()"); } @Bean public TokenStore tokenStore() {//token保存在内存中（也可以保存在数据库、Redis中）。//如果保存在中间件（数据库、Redis），那么资源服务器与认证服务器可以不在同一个工程中。//注意：如果不保存access_token，则没法通过access_token取得用户信息return new InMemoryTokenStore(); } @Bean public ApprovalStore approvalStore() throws Exception {TokenApprovalStore store = new TokenApprovalStore(); store.setTokenStore(tokenStore); return store; }}

配置OAuth2的客户端信息：clientId、client_secret、authorization_type、redirect_url等。本例是将数据保存在内存中。也可以保存在数据库中，实现ClientDetailsService接口，进行认证与授权，略。
TokenStore是access_token的存储单元，可以保存在内存、数据库、Redis中。本例是保存在内存中。
3、OAuth2的资源服务：
主要作用是配置资源受保护的OAuth2策略。

package com.banling.oauth2server.config; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.http.SessionCreationPolicy; import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer; import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter; import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer; import org.springframework.security.oauth2.provider.token.TokenStore; @Configuration@EnableResourceServerpublic class ResServerConfig extends ResourceServerConfigurerAdapter{ @Autowired private TokenStore tokenStore; @Overridepublic void configure(ResourceServerSecurityConfigurer resources) throws Exception {resources.tokenStore(tokenStore).resourceId("resourceId"); } @Overridepublic void configure(HttpSecurity http) throws Exception {/*注意：1、必须先加上： .requestMatchers().antMatchers(...)，表示对资源进行保护，也就是说，在访问前要进行OAuth认证。2、接着：访问受保护的资源时，要具有哪里权限。------------------------------------否则，请求只是被Security的拦截器拦截，请求根本到不了OAuth2的拦截器。同时，还要注意先配置：security.oauth2.resource.filter-order=3，否则通过access_token取不到用户信息。------------------------------------requestMatchers()部分说明：Invoking requestMatchers() will not override previous invocations of ::mvcMatcher(String)}, requestMatchers(), antMatcher(String), regexMatcher(String), and requestMatcher(RequestMatcher).*/http// Since we want the protected resources to be accessible in the UI as well we need // session creation to be allowed (it's disabled by default in 2.0.6)//另外，如果不设置，那么在通过浏览器访问被保护的任何资源时，每次是不同的SessionID，并且将每次请求的历史都记录在OAuth2Authentication的details的中.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED).and().requestMatchers().antMatchers("/user","/res/**").and().authorizeRequests().antMatchers("/user","/res/**").authenticated(); }}

配置哪些URL资源是受OAuth2保护的。注意，必须配置sessionManagement()，否则访问受护资源请求不会被OAuth2的拦截器ClientCredentialsTokenEndpointFilter与OAuth2AuthenticationProcessingFilter拦截，也就是说，没有配置的话，资源没有受到OAuth2的保护。
4、受OAuth2保存的资源：
1)获取OAuth2客户端的信息

package com.banling.oauth2server.web; import java.security.Principal; import org.springframework.web.bind.annotation.RequestMapping; import org.springframework.web.bind.annotation.RestController; @RestControllerpublic class UserController { @RequestMapping("/user") public Principal user(Principal principal) {//principal在经过security拦截后，是org.springframework.security.authentication.UsernamePasswordAuthenticationToken//在经OAuth2拦截后，是OAuth2Authenticationreturn principal; } }

2)其它受保护的资源

package com.banling.oauth2server.web; import java.security.Principal; import org.springframework.web.bind.annotation.RequestMapping; import org.springframework.web.bind.annotation.RestController; /** * 作为OAuth2的资源服务时，不能在Controller(或者RestController)注解上写上URL，因为这样不会被识别，会报404错误。
*
{ *
"timestamp": 1544580859138, *
"status": 404, *
"error": "Not Found", *
"message": "No message available", *
"path": "/res/getMsg" *
} *
* * */@RestController()//作为资源服务时，不能带上url，@RestController("/res")是错的，无法识别。只能在方法上注解全路径public class ResController { @RequestMapping("/res/getMsg") public String getMsg(String msg,Principal principal) {//principal中封装了客户端（用户，也就是clientDetails，区别于Security的UserDetails，其实clientDetails中也封装了UserDetails），不是必须的参数，除非你想得到用户信息，才加上principal。return "Get the msg: "+msg; }}

5、application.properties配置：
security.oauth2.resource.filter-order=3 必须配置，否则对受护资源请求不会被OAuth2的拦截器拦截。
6、测试
1）authorization_code方式获取code，然后再通过code获取access_token（和refresh_token）。
在浏览输入：

http://localhost:8080/oauth/authorize?client_id=client&response_type=code&redirect_uri=http://localhost:8090/

在登录界面输入用户名与密码user/user，提交。
提交后服务重定向 至scope的授权界面：

文章图片

授权后，在回调uri中可以得从code：

文章图片

用postman工具，设置header的值，通过code获取access_token与fresh_token:

文章图片

2）implict方式接获取access_token。
浏览器中输入：

http://localhost:8080/oauth/authorize?client_id=client&response_type=token&redirect_uri=http://localhost:8090/

可以直接获得access_token。

文章图片

3）通过refresh_token获取access_token与refresh_token。
用postman工具测试，根据refresh_token获取新的access_token与fresh_token。

文章图片

4）获取OAuth2客户端的信息。
可以通过get方式，也可以通过设置header获取。
get方式，看url字符串：

文章图片

设置header的方式：

文章图片

5）访问其它受保护的资源

文章图片

github上的源码： https://github.com/banat020/OAuth2-server

【Springboot开发OAuth2认证授权与资源服务器操作】以上为个人经验，希望能给大家一个参考，也希望大家多多支持脚本之家。

推荐阅读

• 

  新途观后视镜怎么折叠
• 

  沈阳社保缴费基数2023年最新标准公布 沈阳个人社保缴费标准表一览
• 

  Android:dialog去除边框的实现(自带Style的padding)
• 

  黄豆泡一天一夜有毒吗
• 

  九天圣母庙的简介
• 

  王者荣耀马可波罗潮玩牛仔怎么样 马可波罗潮玩牛仔皮肤介绍
• 

  美容护肤美白的方法有什么？
• 

  苹果手机返回键设置在哪里
• 

  详解佳能MF443DW硒鼓更换方法 佳能MF443DW更换硒鼓需要清零吗
• 

  致错爱
• 

  像素|144Hz竞速屏 iQOO Neo5 SE手机外观图赏
• 

  士兵退役费算不算夫妻共同财产
• 

  海信电视怎么老是闪屏，海信电视总是闪啊闪是什么原因
• 

  负债的看过来！你们是怎么上岸的？
• 

  防火墙源码 分析,hacknet防火墙分析
• 

  46．请问观想念佛要注意什么（）
• 

  linux的命令挂载设备 linux挂载的概念
• 

  中立云（UCloud）主机配置步骤
• 

  身无分文到哪能搞到钱 走投无路干什么赚钱快
• 

  绿宝石火山灰有什么用 绿宝石火山灰做什么好

• 深入理解Go之generate
• Activiti（一）SpringBoot2集成Activiti6
• 标签、语法规范、内联框架、超链接、CSS的编写位置、CSS语法、开发工具、块和内联、常用选择器、后代元素选择器、伪类、伪元素。
• SpringBoot调用公共模块的自定义注解失效的解决
• 解决SpringBoot引用别的模块无法注入的问题
• 我的软件测试开发工程师书单
• echart|echart 双轴图开发
• NPDP拆书（三）（新产品开发战略（经营与创新战略））
• springboot使用redis缓存
• 芯灵思SinlinxA33开发板Linux内核定时器编程