Spring Security5.5發布，正式實裝OAuth2.0的第五種授權模式
今天Spring Security 5.5發布了，主要涉及OAuth2.0和SAML2.0兩個協議。其中最大的亮點是支持了OAuth2.0的另一種授權模式jwt-bearer。這個模式可能對大家比較陌生，說實話胖哥也沒在實際開發中玩過這種模式，不過它并不是剛出的規范，這是2015年5月起草的RFC7523的一部分，如今正式實裝到Spring Security中，今天就和大家一起學習一下這個規范。
JWT Bearer 授權模式
通常出現在各大技術社區的OAuth2.0有四大授權模式：
授權碼模式 grant_type=authorization_code。
隱藏模式response_type=token。
密碼模式grant_type=password。
憑據模式grant_type=client_credentials。
其實這幾種模式中都會用到Bearer Token，甚至Token直接選用JWT技術。那么它作為一種授權模式是如何定義的呢?
JWT Bearer 授權
首先jwt-bearer認證請求也要攜帶grant_type參數來表明使用的授權模式：
- grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer
這個grant_type有點長!還要攜帶assertion參數，這個參數對應的值只能是一個JWT，另外也可以攜帶(可選)scope參數以表明請求的作用域。根據上面的描述，一個jwt-bearer類型的授權模式大致是這樣的：
- POST /token/oauth2 HTTP/1.1
- Host: felord.cn
- Content-Type: application/x-www-form-urlencoded
- grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer
- &assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.
- eyJzdWIiOiJhbGwiLCJhdWQiOiJGZWxvcmRjbiIsInJv.
- ER2U4CAt1xYxXBmnVQsrirkMwPwxwjWxjs
其實也就是說用戶如果要請求授權要先有一個JWT，我個人估計有可能是可以被授權服務器信任的第三方JWT憑據，憑據校驗通過用戶就可以得到相應的授權去訪問特定的資源。
客戶端身份認證
RFC7523還規定JWT Bearer還可以用于客戶端身份驗證。客戶端攜帶一個client_assertion_type參數：
- client_assertion_type=urn：ietf：params：oauth：client-assertion-type：jwt-bearer
同Beaerer JWT授權類似，還要攜帶一個client_assertion參數，這個參數同樣要帶一個JWT。請求實例如下：
- POST /token/oauth2 HTTP/1.1
- Host: felord.cn
- Content-Type: application/x-www-form-urlencoded
- grant_type=authorization_code&
- code=n0esc3NRze7LTCu7iYzS6a5acc3f0ogp4&
- client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3A
- client-assertion-type%3Ajwt-bearer&
- client_assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.
- eyJzdWIiOiJhbGwiLCJhdWQiOiJGZWxvcmRjbiIsInJv.
- ER2U4CAt1xYxXBmnVQsrirkMwPwxwjWxjs
場景
那么場景是什么?根據RFC723的描述，該模式用于當客戶端希望利用一個現有的、可信任的、使用JWT語義表達的關系來獲取Access Token，它不需要在授權服務器上直接進行用戶批準(User Approval)步驟。
另外jwt-bearer也被定義用于客戶端身份驗證機制，來判斷客戶端的身份是否合規。客戶端使用JWT進行身份認證和客戶端使用JWT進行授權是分離的行為。當然這兩種行為可以組合使用，也可以分離使用。客戶端使用JWT進行身份驗證僅是客戶端向令牌端點進行身份驗證一種替代方法。
個人感覺就是方便在已經有JWT體系上使用OAuth2.0協議。
總結
今天主要對jwt-bearer授權模式的協議進行了分享，和其它模式比較起來jwt-bearer還很新，雖然目前還沒有大規模運用，不過目前我在國外的技術社區已經發現了很多關于這種模式的問題和討論，看來這個模式還是有點東西的，需要留意一下。
本文轉載自微信公眾號「碼農小胖哥」，可以通過以下二維碼關注。轉載本文請聯系碼農小胖哥公眾號。
