第一时间获取技术干货和业界资讯!
☞ 免费CSDN资料帮下服务 | 免费加群 ☜
对于 OAuth2 我相信,多数人都不会陌生。我前面也写过《Shiro 集成 OAuth2》的教程,最近一段时间,我们再来深入学习学习 OAuth2。
OAuth2 协议很简单,理解起来也不难,难在集成 spring security。于是,Spring 搞了一个 spring-security-oauth2,我们使用它就能很方便的完成基于 OAuth2 的授权认证功能。
OAuth2 的运行流程图
整个流程解释如下:
(A)用户打开客户端以后,客户端要求用户给予授权。
(B)用户同意给予客户端授权。
(C)客户端使用上一步获得的授权,向认证服务器申请令牌。
(D)认证服务器对客户端进行认证以后,确认无误,同意发放令牌。
(E)客户端使用令牌,向资源服务器申请获取资源。
(F)资源服务器确认令牌无误,同意向客户端开放资源。
这个流程的关键就在于授权,OAuth2 提供了 4 种授权模式。
OAuth2 的授权模式
客户端必须得到用户的授权(authorization grant),才能获得令牌(access token)。OAuth2 定义了四种授权方式。
我的这个关于 OAuth2 的一系列教程都是基于授权码模式(authorization code)的。
授权码模式(authorization code)
授权码模式(authorization code)是功能最完整、流程最严密的授权模式。它的特点就是通过客户端的后台服务器,与"服务提供商"的认证服务器进行互动。
上面的流程图解释如下:
(A)用户访问客户端,后者将前者导向认证服务器。
(B)用户选择是否给予客户端授权。
(C)假设用户给予授权,认证服务器将用户导向客户端事先指定的"重定向URI"(redirection URI),同时附上一个授权码。
(D)客户端收到授权码,附上早先的"重定向URI",向认证服务器申请令牌。这一步是在客户端的后台的服务器上完成的,对用户不可见。
(E)认证服务器核对了授权码和重定向URI,确认无误后,向客户端发送访问令牌(access token)和更新令牌(refresh token)。
在 A 步骤中,客户端申请认证的 URI,包含以下参数:
在我这个系列教程中,当我们访问需要授权才能访问的地址:localhost:8882/index 时,会被重定向到 localhost:8881/auth/login 地址进行登录。登录后就会跳转到 localhost:8881/auth/oauth/authorize?client_id=SampleClientId&redirect_uri=http://localhost:8882/login&response_type=code&state=Equf35 地址,进行授权。上面我罗列的这些参数都会携带。
C步骤中,服务器回应客户端的URI,包含以下参数:
上面这个授权页面也是我自定义实现的,默认的授权页、登录页都太丑。
D步骤中,客户端向认证服务器申请令牌的HTTP请求,包含以下参数:
E步骤中,认证服务器发送的HTTP回复,包含以下参数:
关于上面的这一切我都有实现,上面的截图都是定制的页面。后面会考虑开源,如果需要源码的,可以加我微信。这篇文章主要是介绍 OAuth2 和我的案例源码运行结果分享,后面我们进行深入学习它。