授權服務：授權碼和訪問令牌的頒發流程是怎樣的？

作者：架構師秋天 2024-11-06 13:03:06

開發前端

通過這篇文章，我們詳細解析了OAuth 2.0中授權服務的授權碼和訪問令牌頒發流程，并通過源碼分析展示了各個關鍵步驟的實現。希望本文能讓你對授權碼許可流程有更深入的理解。

今天，我們將深入探索OAuth 2.0體系中最經典的授權碼許可流程，特別是其中的授權服務如何頒發授權碼和訪問令牌。本文會結合關鍵源碼片段和詳盡注釋，帶你逐步掌握授權服務的核心邏輯。

一、OAuth 2.0中的授權服務是什么？

在OAuth 2.0授權體系中，授權服務（Authorization Server）是負責頒發訪問令牌的核心組件。它的主要任務是：

驗證客戶端的身份是否合法；
生成并頒發授權碼（Authorization Code）和訪問令牌（Access Token）；
管理和驗證令牌的有效性和過期狀態；
支持刷新令牌的生成，確保用戶不在場的情況下，應用也能繼續訪問資源。

要理解授權服務的工作原理，首先需要明白OAuth 2.0體系中的授權碼許可流程是如何運作的。

二、授權碼許可流程概覽

授權碼許可（Authorization Code Grant）是OAuth 2.0中最常用的授權類型，其流程可以概括為以下幾步：

用戶授權請求：用戶在客戶端上發起訪問資源的請求，客戶端將用戶重定向至授權服務的登錄頁面。
用戶同意授權：用戶在授權服務頁面進行登錄認證，并同意將部分權限授予客戶端。
獲取授權碼：用戶授權后，授權服務生成授權碼，并將其返回給客戶端。
交換授權碼：客戶端將獲得的授權碼發送給授權服務，授權服務驗證通過后生成訪問令牌并返回給客戶端。
訪問資源服務器：客戶端使用訪問令牌，向資源服務器發起請求以獲取用戶數據。

授權碼許可流程的關鍵組件

客戶端：即第三方應用，比如你手機上的應用。
授權服務：負責頒發授權碼和訪問令牌。
資源服務器：存儲用戶數據，比如用戶的訂單信息。
資源所有者：即用戶，擁有訪問資源的權限。

接下來，讓我們通過代碼解析授權服務的核心流程。

三、代碼解析：授權碼和訪問令牌的生成

3.1 獲取授權碼

在OAuth 2.0中，授權碼的生成是授權服務的第一步操作。以下為獲取授權碼的示例代碼。

授權服務代碼示例

// AuthorizationEndpoint.java

@RestController
@RequestMapping("/oauth")
public class AuthorizationEndpoint {

    @Autowired
    private AuthorizationService authorizationService;

    @GetMapping("/authorize")
    public ResponseEntity<?> authorize(
        @RequestParam("response_type") String responseType,
        @RequestParam("client_id") String clientId,
        @RequestParam("redirect_uri") String redirectUri,
        @RequestParam("scope") String scope,
        @RequestParam("state") String state
    ) {
        // Step 1: 驗證客戶端ID是否合法
        if (!authorizationService.isClientValid(clientId)) {
            return ResponseEntity.status(HttpStatus.BAD_REQUEST).body("Invalid client_id");
        }

        // Step 2: 驗證redirect_uri是否合法
        if (!authorizationService.isRedirectUriValid(clientId, redirectUri)) {
            return ResponseEntity.status(HttpStatus.BAD_REQUEST).body("Invalid redirect_uri");
        }

        // Step 3: 生成授權碼
        String authorizationCode = authorizationService.generateAuthorizationCode(clientId, redirectUri, scope);

        // Step 4: 將授權碼和狀態碼一起重定向回客戶端
        URI location = URI.create(redirectUri + "?code=" + authorizationCode + "&state=" + state);
        return ResponseEntity.status(HttpStatus.FOUND).location(location).build();
    }
}

代碼解讀

驗證客戶端ID：isClientValid(clientId)方法檢查請求中的客戶端ID是否合法。
驗證重定向URI：isRedirectUriValid方法確保redirect_uri與客戶端注冊的回調地址匹配，避免授權碼泄露。
生成授權碼：generateAuthorizationCode方法會根據客戶端ID、回調URI和權限范圍生成唯一的授權碼。
返回授權碼：通過重定向，將生成的授權碼返回給客戶端。客戶端隨后可以使用授權碼請求訪問令牌。

3.2 獲取訪問令牌

授權碼生成后，客戶端會調用授權服務的另一個接口，將授權碼交換為訪問令牌。以下為訪問令牌的獲取流程：

// TokenEndpoint.java

@RestController
@RequestMapping("/oauth")
public class TokenEndpoint {

    @Autowired
    private AuthorizationService authorizationService;

    @PostMapping("/token")
    public ResponseEntity<?> getToken(
        @RequestParam("grant_type") String grantType,
        @RequestParam("code") String code,
        @RequestParam("redirect_uri") String redirectUri,
        @RequestParam("client_id") String clientId,
        @RequestParam("client_secret") String clientSecret
    ) {
        // Step 1: 驗證授權碼是否合法
        if (!authorizationService.isAuthorizationCodeValid(code, clientId, redirectUri)) {
            return ResponseEntity.status(HttpStatus.BAD_REQUEST).body("Invalid authorization code");
        }

        // Step 2: 驗證客戶端ID和密鑰
        if (!authorizationService.isClientAuthenticated(clientId, clientSecret)) {
            return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body("Client authentication failed");
        }

        // Step 3: 生成訪問令牌
        String accessToken = authorizationService.generateAccessToken(clientId, code);

        // Step 4: 返回訪問令牌
        return ResponseEntity.ok(Collections.singletonMap("access_token", accessToken));
    }
}

代碼解讀

驗證授權碼：isAuthorizationCodeValid方法檢查授權碼是否有效，以及是否匹配客戶端ID和回調URI。
驗證客戶端身份：通過client_id和client_secret進行身份驗證，確保客戶端的請求合法。
生成訪問令牌：generateAccessToken方法會為有效的授權碼生成一個唯一的訪問令牌。
返回訪問令牌：將訪問令牌返回給客戶端，客戶端可以使用此令牌訪問資源服務器上的用戶數據。

3.3 訪問令牌的管理

在實際應用中，訪問令牌通常具有一定的有效期，超過有效期后需要重新生成。

// AuthorizationService.java

@Service
public class AuthorizationService {

    private Map<String, String> authorizationCodes = new HashMap<>();
    private Map<String, String> accessTokens = new HashMap<>();
    private static final long TOKEN_EXPIRY = 3600L; // 1小時

    // 生成授權碼
    public String generateAuthorizationCode(String clientId, String redirectUri, String scope) {
        String code = UUID.randomUUID().toString();
        authorizationCodes.put(code, clientId + ":" + redirectUri + ":" + scope);
        return code;
    }

    // 驗證授權碼
    public boolean isAuthorizationCodeValid(String code, String clientId, String redirectUri) {
        String storedCode = authorizationCodes.get(code);
        if (storedCode == null) {
            return false;
        }
        String[] parts = storedCode.split(":");
        return parts[0].equals(clientId) && parts[1].equals(redirectUri);
    }

    // 生成訪問令牌
    public String generateAccessToken(String clientId, String code) {
        String token = UUID.randomUUID().toString();
        accessTokens.put(token, clientId + ":" + System.currentTimeMillis());
        return token;
    }

    // 驗證令牌是否有效
    public boolean isAccessTokenValid(String token) {
        String storedToken = accessTokens.get(token);
        if (storedToken == null) {
            return false;
        }
        long issuedTime = Long.parseLong(storedToken.split(":")[1]);
        return (System.currentTimeMillis() - issuedTime) < TOKEN_EXPIRY * 1000;
    }
}

代碼解讀

生成授權碼：使用UUID生成唯一的授權碼，并存儲在authorizationCodes集合中。
驗證授權碼：檢查授權碼是否有效，是否與客戶端ID和回調URI匹配。
生成訪問令牌：根據客戶端ID和授權碼生成訪問令牌，存儲在accessTokens集合中。
驗證訪問令牌：檢查令牌的存儲時間，判斷是否過期。

四、令牌刷新

令牌過期后，可以通過刷新令牌（Refresh Token）來重新獲取新的訪問令牌。刷新令牌機制避免了用戶頻繁授權，也確保客戶端在用戶不在場的情況下繼續使用。

// TokenEndpoint.java

@PostMapping("/refresh")
public ResponseEntity<?> refreshAccessToken(
    @RequestParam("grant_type") String grantType,
    @RequestParam("refresh_token") String refreshToken,
    @RequestParam("client_id") String clientId,
    @RequestParam("client_secret") String clientSecret
) {
    if (!authorizationService.isRefreshTokenValid(refreshToken, clientId)) {
        return ResponseEntity.status(HttpStatus.UNAUTHORIZED).

body("Invalid refresh token");
    }

    String newAccessToken = authorizationService.refreshAccessToken(clientId, refreshToken);
    return ResponseEntity.ok(Collections.singletonMap("access_token", newAccessToken));
}

代碼解讀

驗證刷新令牌：確認refreshToken是否與客戶端ID匹配。
生成新令牌：調用refreshAccessToken生成新的訪問令牌。

五、總結

責任編輯：武曉燕來源：架構師秋天

OAuth 2.0 源碼授權碼