@levinzhang 2023-01-07T14:00:21.000000Z 字数 5446 阅读 375

Spring Authorization Server 1.0提供了OAuth 2.1和OpenID Connect 1.0实现

Johan Janssen

摘要：

在向Java社区推出两年半之后，VMWare发布了Spring Authorization Server 1.0。Spring Authorization Server项目构建在Spring Security之上，支持OpenID Connect 1.0 Identity Provider和OAuth 2.1 Authorization Server。该项目取代了业已不再维护的Spring Security OAuth项目。

在向Java社区推出两年半之后，VMWare发布了Spring Authorization Server 1.0。 Spring Authorization Server项目构建在Spring Security之上，支持创建OpenID Connect 1.0 Identity Provider和OAuth 2.1 Authorization Server。该项目取代了业已不再维护的Spring Security OAuth项目。

Spring Authorization Server也基于Spring Framework 6.0，需要使用Java 17作为最低版本。该项目支持特征列表中描述的Authorization Grants、Token Format、Client Authentication和Protocol Endpoints。

有个示例应用阐述了使用Spring Initializr创建Spring Boot应用的基本配置。该示例应用是基于REST的，需要在pom.xml文件中包含spring-boot-starter-web依赖：

dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>

为了阐述登录功能，请考虑如下创建REST端点的样例：

@RestController
public class TimeController {
    @GetMapping("/time")
    public String retrieveTime() {
        DateTimeFormatter dateTimeFormatter =    
            DateTimeFormatter.ofPattern("HH:mm:ss");
        LocalTime localTime = LocalTime.now();
        return dateTimeFormatter.format(localTime);
    }
}

一个基础的Spring Boot应用类用来启动应用与前文创建的REST端点：

@SpringBootApplication
public class TimeApplication {
    public static void main(String[] args) {
     SpringApplication.run(TimeApplication.class, args);
    }
}

在启动应用之后，打开http://localhost:8080/time URL，将会显示当前时间：

21:00:34

现在，我们添加Spring Authorization Server依赖：

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-oauth2-authorization-server</artifactId>
    <version>1.0.0</version>
</dependency>

当再次启动应用后，日志中会打印出密码，例如：

Using generated security password: d73d5904-25a1-44ed-91e1-a32c4c5aedb8

现在，当访问http://localhost:8080/time时，请求会重定向到http://localhost:8080/login，并展示如下所示的页面：

我们使用默认的用户名user以及打印出的密码登录之后，请求会被重定向到http://localhost:8080/time?continue，并再次显示当前时间。

“开发第一个样例”文档详细介绍了Spring Authorization Server需要的几个@Bean组件，它们应该定义在带有@Configuration注解的类中。第一个bean用来定义OAuth2 Protocol Endpoint：

@Bean
@Order(1)
public SecurityFilterChain protocolFilterChain(HttpSecurity http)
    throws Exception {
    OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
    http
        .exceptionHandling((exceptions) -> exceptions
        .authenticationEntryPoint(
            new LoginUrlAuthenticationEntryPoint("/login"))
        )
        .oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt)
        .getConfigurer(OAuth2AuthorizationServerConfigurer.class)
        .oidc(Customizer.withDefaults());
        return http.build();
}

第二个bean用来定义Spring Security Authentication：

@Bean
@Order(2)
public SecurityFilterChain authenticationFilterChain(HttpSecurity http) throws Exception {
    http
    .authorizeHttpRequests((authorize) -> authorize
        .anyRequest().authenticated()
    )
    .formLogin(Customizer.withDefaults());
    return http.build();
}

在真正的产品中，我们应该使用合理的方案来存储用户，但是在这个简单的样例中，用户james和密码gosling存储在了内存中：

@Bean
public UserDetailsService userDetailsService() {
    UserDetails userDetails = User.withDefaultPasswordEncoder()
        .username("james")
        .password("gosling")
        .roles("FOUNDER")
        .build();
    return new InMemoryUserDetailsManager(userDetails);
}

新的客户端使用RegisteredClientRepository注册在了内存中：

@Bean
public RegisteredClientRepository registeredClientRepository() {
    RegisteredClient registeredClient =            
        RegisteredClient.withId(UUID.randomUUID().toString())
        .clientId("id")
        .clientSecret("secret")
        .clientAuthenticationMethod(
            ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
        .authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN)
        .authorizationGrantType(AuthorizationGrantType.CLIENT_CREDENTIALS)
        .redirectUri(
          "http://127.0.0.1:8080/login/oauth2/code/messaging-client-oidc")
        .redirectUri("http://127.0.0.1:8080/authorized")
        .scope(OidcScopes.OPENID)
        .scope(OidcScopes.PROFILE)
        .scope("message.read")
        .scope("message.write")
        .clientSettings(
            ClientSettings.builder()
            .requireAuthorizationConsent(true).build())
        .build();
    return new InMemoryRegisteredClientRepository(registeredClient);
}

访问令牌会使用如下的bean进行签名，它会使用com.nimbusds.jose.jwk.RSAKey，而不是java.security.interfaces.RSAKey：

@Bean
public JWKSource<SecurityContext> jwkSource() {
    KeyPair keyPair = generateRsaKey();
    RSAPublicKey publicKey = (RSAPublicKey) keyPair.getPublic();
    RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate();
    RSAKey rsaKey = new RSAKey.Builder(publicKey)
        .privateKey(privateKey)
        .keyID(UUID.randomUUID().toString())
        .build();
    JWKSet jwkSet = new JWKSet(rsaKey);
    return new ImmutableJWKSet<>(jwkSet);
}
private static KeyPair generateRsaKey() {
    KeyPair keyPair;
    try {
        KeyPairGenerator keyPairGenerator =                     
            KeyPairGenerator.getInstance("RSA");
          keyPairGenerator.initialize(2048);
          keyPair = keyPairGenerator.generateKeyPair();
    }
    catch (Exception ex) {
        throw new IllegalStateException(ex);
    }
    return keyPair;
}

JwtDecoder会用来解码已签名的访问令牌，它会使用com.nimbusds.jose.proc.SecurityContext，而不是org.springframework.security.core.context.SecurityContext：

@Bean
public JwtDecoder jwtDecoder(JWKSource<SecurityContext> jwkSource) {
    return OAuth2AuthorizationServerConfiguration.jwtDecoder(jwkSource);
}

最后，AuthorizationServerSettings会用来配置OAuth2认证服务器：

@Bean
public AuthorizationServerSettings authorizationServerSettings() {
    return AuthorizationServerSettings.builder().build();
}

现在，当浏览http://localhost:8080/time时，可以使用用户名james和密码gosling来查看当前的时间。在遵循这些步骤后，该应用可以扩展为使用各种OAuth2和OpenID Connect 1.0功能，如令牌。

有多个视频对Spring Authorization Server进行了详细解释，例如Spring Security团队的核心提交者Joe Grandja在旧金山JUG上做了Spring Authorization Server入门的演讲，Spring Security in Action的作者Laurentiu Spilca在Spring I/O上介绍了如何使用Spring Security实现OAuth 2认证服务器。

该项目是基于VMware Tanzu开源软件支持策略发布的，这意味着主要版本的支持时间长达三年。另外，VMware还提供24/7的商业支持。

更多信息可以参考入门指南、参考文档和GitHub上的示例。

查看英文原文：Spring Authorization Server 1.0 Provides Oauth 2.1 and OpenID Connect 1.0 Implementations

Spring Authorization Server 1.0提供了OAuth 2.1和OpenID Connect 1.0实现

摘要：

内容目录