農(nóng)行一面：OAuth2 如何做權限驗證？它有哪些模式？
作者：猿java
簡單來說，OAuth2 是一種授權框架，用于讓應用程序在不暴露用戶密碼的情況下，獲得訪問用戶受保護資源的權限。
OAuth2是現(xiàn)代應用開發(fā)中幾乎無處不在的認證與授權協(xié)議，什么是OAuth2？它是如何工作的？OAuth2有哪些典型模式？這篇文章，我們來聊一聊。
一、什么是 OAuth2？
簡單來說，OAuth2是一種授權框架，用于讓應用程序在不暴露用戶密碼的情況下，獲得訪問用戶受保護資源的權限。它廣泛應用于第三方登錄、API 授權等場景。
二、OAuth2 的核心概念
在深入討論典型模式之前，我們先來簡單了解一下OAuth2的幾個核心角色：
- 資源擁有者（Resource Owner）：通常是終端用戶。
- 客戶端（Client）：希望訪問資源的應用程序（比如你的Java應用）。
- 資源服務器（Resource Server）：存儲用戶資源的服務器。
- 授權服務器（Authorization Server）：負責認證和授權的服務器。
理解了這些基本概念，咱們就能更好地理解各種OAuth2的授權模式了。
三、OAuth2 的典型授權模式
OAuth2 定義了四種主要的授權模式，每種模式適用于不同的應用場景。讓我們逐一來看：
1. 授權碼模式
授權碼模式（Authorization Code Grant）適用于服務器端應用，尤其是需要訪問用戶資源的Web應用。
流程簡述：
- 用戶訪問客戶端（你的Java應用）并請求訪問受保護資源。
- 客戶端將用戶重定向到授權服務器，用戶在授權服務器登錄并授權。
- 授權服務器將用戶重定向回客戶端，并附帶一個授權碼。
- 客戶端使用這個授權碼向授權服務器請求訪問令牌。
- 授權服務器返回訪問令牌，客戶端使用該令牌訪問資源服務器上的資源。
示例演示：
假設你有一個Java Spring Boot應用，需要訪問用戶的GitHub資源。流程如下：
@Configuration
@EnableOAuth2Client
publicclass OAuth2ClientConfig {
@Bean
public OAuth2RestTemplate githubRestTemplate(OAuth2ClientContext oauth2ClientContext) {
returnnew OAuth2RestTemplate(github(), oauth2ClientContext);
}
private OAuth2ProtectedResourceDetails github() {
AuthorizationCodeResourceDetails details = new AuthorizationCodeResourceDetails();
details.setClientId("your-client-id");
details.setClientSecret("your-client-secret");
details.setAccessTokenUri("https://github.com/login/oauth/access_token");
details.setUserAuthorizationUri("https://github.com/login/oauth/authorize");
details.setScope(Arrays.asList("repo", "read:user"));
return details;
}
}在這個配置中，我們定義了如何與GitHub的OAuth2服務交互，獲取訪問令牌并訪問資源。
2. 隱式模式
隱式模式（Implicit Grant）適用于單頁面應用（SPA）或移動應用，不適合存儲客戶端密鑰。
特點：
- 直接在前端獲取訪問令牌，省去了授權碼的步驟。
- 安全性較低，不推薦用于高安全需求的場景。
示例演示：
前端JavaScript代碼片段：
const clientId = 'client-id';
const redirectUri = 'https://yuanjava.com/callback';
const authUrl = `https://authorization-server.com/auth?response_type=token&client_id=${clientId}&redirect_uri=${redirectUri}&scope=read`;
window.location.href = authUrl;
// 在回調(diào)頁面獲取access_token
const hash = window.location.hash.substring(1);
const params = new URLSearchParams(hash);
const accessToken = params.get('access_token');這種方式適用于無需在后端存儲敏感信息的應用，但要注意訪問令牌可能會暴露在前端。
3. 資源所有者密碼憑證模式
資源所有者密碼憑證模式（Resource Owner Password Credentials Grant）適用于高度信任的應用，比如官方的移動應用。
特點：
- 用戶直接提供用戶名和密碼給客戶端。
- 客戶端使用這些憑據(jù)向授權服務器請求訪問令牌。
注意：這種模式下，客戶端需要處理用戶的敏感信息，風險較高。
示例演示：
public OAuth2AccessToken getAccessToken(String username, String password) {
ResourceOwnerPasswordResourceDetails resourceDetails = new ResourceOwnerPasswordResourceDetails();
resourceDetails.setUsername(username);
resourceDetails.setPassword(password);
resourceDetails.setAccessTokenUri("https://authorization-server.com/token");
resourceDetails.setClientId("your-client-id");
resourceDetails.setClientSecret("your-client-secret");
resourceDetails.setScope(Arrays.asList("read", "write"));
OAuth2RestTemplate restTemplate = new OAuth2RestTemplate(resourceDetails);
return restTemplate.getAccessToken();
}在這個例子中，客戶端直接使用用戶的用戶名和密碼獲取訪問令牌。
4. 客戶端憑證模式
客戶端憑證模式（Client Credentials Grant）適用于應用間的通信，或后臺服務。
特點：
- 客戶端直接使用自身的憑證（無需用戶參與）獲取訪問令牌。
- 適合訪問屬于客戶端自身的資源。
示例演示：
public OAuth2AccessToken getClientCredentialsToken() {
ClientCredentialsResourceDetails resourceDetails = new ClientCredentialsResourceDetails();
resourceDetails.setAccessTokenUri("https://authorization-server.com/token");
resourceDetails.setClientId("your-client-id");
resourceDetails.setClientSecret("your-client-secret");
resourceDetails.setScope(Arrays.asList("read", "write"));
OAuth2RestTemplate restTemplate = new OAuth2RestTemplate(resourceDetails);
return restTemplate.getAccessToken();
}這種模式下，客戶端無需用戶授權，直接獲取訪問令牌進行資源訪問。
四、OAuth2 的原理
了解了各種授權模式后，我們再來看看OAuth2背后的原理，幫助你更好地理解和應用它。
- 授權碼交換： 在授權碼模式中，授權碼是一個中間步驟，它增加了安全性。因為訪問令牌不直接暴露給用戶瀏覽器，防止惡意攻擊者截獲。
- 范圍（Scope）控制：OAuth2允許客戶端請求特定的權限范圍（Scope）。比如，你的應用只需要讀取用戶的公開信息，就不需要請求寫入權限。這樣可以減少潛在的風險。
- 刷新令牌（Refresh Token）： 訪問令牌通常有有效期，當過期時，客戶端可以使用刷新令牌獲取新的訪問令牌，而無需用戶重新授權。這提升了用戶體驗和安全性。
五、實戰(zhàn)演示
為了更好地理解OAuth2，讓我們通過一個實際的例子，使用 Spring Security來實現(xiàn)OAuth2的授權碼模式。
1. 項目配置
首先，添加必要的依賴：
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>2. 配置 OAuth2 客戶端
在 application.yml 中配置OAuth2客戶端信息：
spring:
security:
oauth2:
client:
registration:
github:
client-id:client-id
client-secret:client-secret
scope:read:user,repo
redirect-uri:"{baseUrl}/login/oauth2/code/{registrationId}"
authorization-grant-type:authorization_code
client-name:GitHub
provider:
github:
authorization-uri:https://github.com/login/oauth/authorize
token-uri:https://github.com/login/oauth/access_token
user-info-uri:https://api.github.com/user
user-name-attribute:id3. 創(chuàng)建安全配置
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http
.authorizeRequests(a -> a
.antMatchers("/", "/error").permitAll()
.anyRequest().authenticated()
)
.oauth2Login();
}
}4. 創(chuàng)建控制器
@Controller
publicclass MainController {
@GetMapping("/")
public String home() {
return"home"; // 返回主頁視圖
}
@GetMapping("/user")
public String user(Model model, @AuthenticationPrincipal OAuth2User principal) {
model.addAttribute("user", principal);
return"user"; // 返回用戶信息視圖
}
}六、總結
本文，我們深入淺出地介紹了 OAuth2的四種典型授權模式：授權碼模式、隱式模式、資源所有者密碼憑證模式以及客戶端憑證模式。OAuth2作為現(xiàn)代應用中的核心認證與授權框架，允許應用在不暴露用戶密碼的情況下安全地訪問受保護資源。
責任編輯：趙寧寧
來源：
猿java
