Go语言实现OAuth 2.0认证服务器

文章目录

    • 1. 项目概述
      • 1.1 OAuth2 流程
    • 2. OAuth 2.0 Storage接口解析
      • 2.1 基础方法
      • 2.2 客户端管理相关方法
      • 2.3 授权码相关方法
      • 2.4 访问令牌相关方法
      • 2.5 刷新令牌相关方法
    • 2.6 方法调用时序
    • 2.7 关键注意点
    • 3. MySQL存储实现原理
      • 3.1 数据库设计
      • 3.2 核心实现
    • 4. OAuth 2.0授权码流程时序图
    • 5. 使用示例
      • 5.1 初始化存储
      • 5.2 创建OAuth服务器
      • 5.3 实现授权端点
      • 5.4 实现客户端令牌端点
      • 5.5 Callback回调断点（code换access_token）
      • 完整流程
    • 6. 总结

1. 项目概述

在上一篇文章中，我们详细介绍了OAuth 2.0的基本概念、授权流程以及各种授权模式的应用场景。本文将使用Go语言实现一个完整的OAuth 2.0认证服务器。

我们选择了github.com/openshift/osin这个成熟的OAuth 2.0框架作为基础，重点实现了其MySQL 来作为storage的驱动。osin提供了OAuth 2.0服务器的核心功能，但它的存储接口需要我们自己实现。通过实现MySQL存储，我们可以将OAuth 2.0的授权数据持久化到数据库中，使得服务更加可靠和可扩展。

本文的完整代码：oauth2

1.1 OAuth2 流程

让我们通过一个流程图来说明这些方法在 OAuth2 授权码模式中的位置：
在这里插入图片描述

2. OAuth 2.0 Storage接口解析

osin库中的Storage接口是实现OAuth 2.0服务器的核心，它定义了所有必要的存储操作。让我们详细解析每个方法在OAuth 2.0流程中的作用：

2.1 基础方法

Clone() Storage   // 克隆存储实例，用于处理并发访问
Close()          // 关闭存储连接，释放资源

2.2 客户端管理相关方法

   GetClient(id string) (Client, error)UpdateClient(c Client) errorCreateClient(c Client) errorRemoveClient(id string) error

这些方法负责OAuth客户端的CRUD操作：

  • GetClient: 根据客户端ID获取客户端信息，用于验证客户端身份
  • UpdateClient: 更新客户端信息
  • CreateClient: 创建新的客户端
  • RemoveClient: 删除指定客户端

2.3 授权码相关方法

   SaveAuthorize(data *AuthorizeData) errorLoadAuthorize(code string) (*AuthorizeData, error)RemoveAuthorize(code string) error

这些方法处理授权码授权流程：

  • SaveAuthorize: 保存授权码信息
  • LoadAuthorize: 验证授权码有效性
  • RemoveAuthorize: 使用后删除授权码

这组方法用于处理授权码的生命周期：

2.4 访问令牌相关方法

   SaveAccess(data *AccessData) errorLoadAccess(token string) (*AccessData, error)RemoveAccess(token string) error

这些方法处理访问令牌的生命周期：

  • SaveAccess: 保存访问令牌
  • LoadAccess: 验证访问令牌
  • RemoveAccess: 撤销访问令牌

访问令牌的生命周期管理：

在这里插入图片描述

2.5 刷新令牌相关方法

   LoadRefresh(token string) (*AccessData, error)RemoveRefresh(token string) error

这些方法处理刷新令牌：

  • LoadRefresh: 加载刷新令牌对应的访问令牌数据
  • RemoveRefresh: 删除刷新令牌

刷新令牌的处理流程：

在这里插入图片描述

2.6 方法调用时序

在完整的 OAuth2 流程中，这些方法的调用顺序如下：

在这里插入图片描述

2.7 关键注意点

  1. 原子性：

    • SaveAuthorize 和 SaveAccess 操作需要保证原子性
    • RemoveAuthorize 和 SaveAccess 通常需要在同一事务中执行

  2. 安全性：

    • 所有存储的令牌数据应该加密
    • 实现适当的过期机制

  3. 性能考虑：

    • LoadAccess 方法会频繁调用，应考虑缓存
    • Clone 方法对并发性能很重要

  4. 数据一致性：

    • 确保授权码只能使用一次
    • 正确处理令牌过期
    • 维护刷新令牌与访问令牌的关联

3. MySQL存储实现原理

3.1 数据库设计

项目使用了两个主要的数据表：

CREATE TABLE client (id           varchar(255) NOT NULL PRIMARY KEY,secret       varchar(255) NOT NULL,extra        text,redirect_uri varchar(255) NOT NULL,created_at   timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP
)CREATE TABLE token (id            varchar(255) NOT NULL PRIMARY KEY,client_id     varchar(255) NOT NULL,type          varchar(20) NOT NULL,    access_token  varchar(255),            refresh_token varchar(255),            code          varchar(255),            expires_in    int NOT NULL,scope         varchar(255),redirect_uri  varchar(255) NOT NULL,state         varchar(255),extra         text,created_at    timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP,expires_at    timestamp NULL
)

3.2 核心实现

我们的MySQL存储实现主要包含以下特点：

  1. 使用go-zero框架的sqlx包进行数据库操作
  2. 实现了完整的事务支持
  3. 支持令牌过期检查
  4. 提供了表前缀支持，便于多租户场景

4. OAuth 2.0授权码流程时序图

在这里插入图片描述

5. 使用示例

5.1 初始化存储

func initStorage(svcCtx *svc.ServiceContext) *service.Storage {storage := service.NewStorage(svcCtx, "oauth2_")err := storage.CreateSchemas()if err != nil {panic(err)}return storage
}

5.2 创建OAuth服务器

// newOAuthServer 创建一个新的OAuth服务器实例
func newOAuthServer(svc *svc.ServiceContext) *osin.Server {config := osin.NewServerConfig()config.AllowedAuthorizeTypes = osin.AllowedAuthorizeType{osin.CODE}config.AllowedAccessTypes = osin.AllowedAccessType{osin.AUTHORIZATION_CODE,osin.REFRESH_TOKEN,}config.AuthorizationExpiration = 600 // 10分钟config.AccessExpiration = 3600       // 1小时config.AllowGetAccessRequest = trueconfig.ErrorStatusCode = 401storage := service.NewStorage(svc, "osin_")server := osin.NewServer(config, storage)return server
}

5.3 实现授权端点

func AuthorizeHandler(svc *svc.ServiceContext) http.HandlerFunc {return func(w http.ResponseWriter, r *http.Request) {server := newOAuthServer(svc)resp := server.NewResponse()defer resp.Close()if ar := server.HandleAuthorizeRequest(resp, r); ar != nil {// 验证客户端if ar.Client == nil {resp.SetError("unauthorized_client", "客户端未授权")osin.OutputJSON(resp, w, r)return}// 验证重定向URIif ar.RedirectUri == "" {resp.SetError("invalid_request", "缺少重定向URI")osin.OutputJSON(resp, w, r)return}ar.Authorized = true// 完成授权请求,这里只会返回授权码server.FinishAuthorizeRequest(resp, r, ar)// 如果没有错误,会重定向到客户端的redirect_uri,并带上授权码if !resp.IsError {resp.Type = osin.REDIRECT}}// 输出响应(可能是重定向或错误信息)osin.OutputJSON(resp, w, r)}
}

5.4 实现客户端令牌端点

func TokenHandler(svc *svc.ServiceContext) http.HandlerFunc {return func(w http.ResponseWriter, r *http.Request) {logger := logx.WithContext(r.Context())server := newOAuthServer(svc)resp := server.NewResponse()defer resp.Close()if ar := server.HandleAccessRequest(resp, r); ar != nil {// 验证客户端if ar.Client == nil {resp.SetError("unauthorized_client", "客户端未授权")osin.OutputJSON(resp, w, r)return}// 授权请求ar.Authorized = trueserver.FinishAccessRequest(resp, r, ar)}if resp.IsError {logger.Errorf("Token error: %v", resp.InternalError)} else {logger.Infof("Token granted: %s", resp.Output["access_token"])}osin.OutputJSON(resp, w, r)}
}

5.5 Callback回调断点（code换access_token）

func CallbackHandler(svc *svc.ServiceContext) http.HandlerFunc {return func(w http.ResponseWriter, r *http.Request) {// 获取授权码code := r.URL.Query().Get("code")if code == "" {// 检查是否有错误信息if error := r.URL.Query().Get("error"); error != "" {errorDesc := r.URL.Query().Get("error_description")http.Error(w, fmt.Sprintf("授权失败: %s - %s", error, errorDesc), http.StatusBadRequest)return}http.Error(w, "未收到授权码", http.StatusBadRequest)return}// 初始化 OAuth 服务器server := newOAuthServer(svc)// 先加载授权数据authData, err := server.Storage.LoadAuthorize(code)if err != nil {resp := server.NewResponse()resp.SetError("invalid_grant", "授权码无效或已过期")osin.OutputJSON(resp, w, r)return}// 创建访问令牌请求ar := &osin.AccessRequest{Type:            osin.AUTHORIZATION_CODE,Code:            code,Client:          authData.Client,RedirectUri:     authData.RedirectUri,Scope:           authData.Scope,GenerateRefresh: true,Authorized:      true,Expiration:      server.Config.AccessExpiration,}// 处理访问令牌请求resp := server.NewResponse()defer resp.Close()if err := server.Storage.RemoveAuthorize(code); err != nil {resp.SetError("server_error", "无法删除授权码")osin.OutputJSON(resp, w, r)return}server.FinishAccessRequest(resp, r, ar)if resp.IsError {osin.OutputJSON(resp, w, r)return}// API 请求则返回 JSONosin.OutputJSON(resp, w, r)}
}

完整流程

在这里插入图片描述

关键流程说明

  1. 授权码获取：
    • 客户端首先访问/oauth/authorize端点获取授权码
    • 服务器生成授权码并保存到数据库
  2. 授权码换取令牌：
    • 客户端带着授权码访问/oauth/callback端点
    • CallbackHandler负责验证授权码并换取访问令牌
    • 这一步通常在实际应用中是由前端页面完成的，但在我们的实现中直接由后端处理
  3. 令牌生成流程：
    • 验证授权码有效性
    • 删除已使用的授权码（确保一次性使用）
    • 生成访问令牌和刷新令牌
    • 将令牌信息返回给客户端

6. 总结

本项目实现了一个完整的OAuth 2.0认证服务器，通过实现osin的Storage接口，提供了可靠的MySQL存储层。主要特点包括：

  1. 完整实现OAuth 2.0规范
  2. 可靠的MySQL存储实现
  3. 支持授权码和刷新令牌流程
  4. 完善的错误处理和安全机制
  5. 易于扩展和定制

通过这个实现，我们可以快速搭建起一个生产级别的OAuth 2.0认证服务器，为各类应用提供标准的身份认证服务。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/diannao/79293.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

结合 Python 与 MySQL 构建你的 GenBI Agent_基于 MCP Server

结合 Python 与 MySQL 构建你的 GenBI Agent_基于 MCP Server

写在前面 商业智能（BI）正在经历一场由大型语言模型（LLM）驱动的深刻变革。传统的 BI 工具通常需要用户学习复杂的界面或查询语言，而生成式商业智能 (Generative BI, GenBI) 则旨在让用户通过自然语言与数据交互，提出问题，并获得由 AI 生成的数据洞察、可视化建议甚至完整…
阅读更多...
Linux中常用命令

Linux中常用命令

目录 1. linux目录结构 2. linux基本命令操作 2.1 目录操作命令 2.2 文件操作命令 2.3 查看登录用户命名 2.4 文件内容查看命令 2.5 系统管理类命令 3. bash通配符 4. 压缩与解压缩命令 4.1 压缩和解压缩 4.2 测试网络连通性命令 ping 4.3 vi编辑器 4.4 管道操作(…
阅读更多...
C++ 与 MySQL 数据库优化实战：破解性能瓶颈，提升应用效率

C++ 与 MySQL 数据库优化实战：破解性能瓶颈，提升应用效率

🧑 博主简介：CSDN博客专家、CSDN平台优质创作者，高级开发工程师，数学专业，10年以上C/C, C#, Java等多种编程语言开发经验，拥有高级工程师证书；擅长C/C、C#等开发语言，熟悉Java常用开…
阅读更多...
tcp特点+TCP的状态转换图+time_wait详解

tcp特点+TCP的状态转换图+time_wait详解

tcp特点TCP的状态转换图time wait详解 目录 一、tcp特点解释 1.1 面向连接 1.1.1 连接建立——三次握手 1.1.2 连接释放——四次挥手 1.2 可靠的 1.2.1 应答确认 1.2.2 超时重传 1.2.3 乱序重排 1.2.4 去重 1.2.5 滑动窗口进行流量控制 1.3 流失服务（字节…
阅读更多...
探秘 Ruby 与 JavaScript：动态语言的多面风采

探秘 Ruby 与 JavaScript：动态语言的多面风采

1 语法特性对比：简洁与灵活 1.1 Ruby 的语法优雅 Ruby 的语法设计旨在让代码读起来像自然语言一样流畅。它拥有简洁而富有表现力的语法结构，例如代码块、符号等。 以下是一个使用 Ruby 进行数组操作的简单示例： # 定义一个数组 numbers [1…
阅读更多...
点评项目回顾

点评项目回顾

表结构 基于Session实现登录流程 发送验证码： 用户在提交手机号后，会校验手机号是否合法，如果不合法，则要求用户重新输入手机号 如果手机号合法，后台此时生成对应的验证码，同时将验证码进行保存&#xf…
阅读更多...
OpenShift介绍，跟 Kubernetes ，Docker关系

OpenShift介绍，跟 Kubernetes ，Docker关系

1. OpenShift 简介 OpenShift是一个开源项目，基于主流的容器技术Docker及容器编排引擎Kubernetes构建。可以基于OpenShift构建属于自己的容器云平台。OpenShift的开源社区版本叫OpenShift Origin，现在叫OKD。 OpenShift 项目主页：https://www.okd.io/。OpenShift GitHub仓库…
阅读更多...
Ubuntu服务器性能调优指南：从基础工具到系统稳定性提升

Ubuntu服务器性能调优指南：从基础工具到系统稳定性提升

一、性能监控工具的三维应用 1.1 监控矩阵构建 通过组合工具搭建立体监控体系： # 实时进程监控 htop --sort-keyPERCENT_CPU# 存储性能采集 iostat -dx 2# 内存分析组合拳 vmstat -SM 1 | awk NR>2 {print "Active:"$5"MB Swpd:"$3"…
阅读更多...
计算机视觉——基于MediaPipe实现人体姿态估计与不良动作检测

计算机视觉——基于MediaPipe实现人体姿态估计与不良动作检测

概述 正确的身体姿势是个人整体健康的关键。然而，保持正确的身体姿势可能会很困难，因为我们常常会忘记。本博客文章将逐步指导您构建一个解决方案。最近，我们使用 MediaPipe POSE 进行身体姿势检测，效果非常好！ 一、…
阅读更多...
LSTM结合LightGBM高纬时序预测

LSTM结合LightGBM高纬时序预测

1. LSTM 时间序列预测 LSTM 是 RNN（Recurrent Neural Network）的一种变体，它解决了普通 RNN 训练时的梯度消失和梯度爆炸问题，适用于长期依赖的时间序列建模。 LSTM 结构 LSTM 由 输入门（Input Gate）、遗…
阅读更多...
六、adb通过Wifi连接

六、adb通过Wifi连接

背景 收集是荣耀X40,数据线原装全新的，USB连上之后，老是断，电脑一直叮咚叮咚的响个不停，试试WIFI 连接是否稳定，需要手机和电脑用相同的WIFI. 连接 1.通过 USB 连接手机和电脑(打开USB调试等这些都略过) adb device…
阅读更多...
如何理解前端开发中的“换皮“

如何理解前端开发中的“换皮“

"换皮"在前端开发中是一个常见的术语，通常指的是在不改变网站或应用核心功能和结构的情况下，只改变其外观和视觉表现。以下是关于前端"换皮"的详细理解： 基本概念 定义：换皮(Skinning)是指保持应用程序功能不…
阅读更多...
从 Vue 到 React：深入理解 useState 的异步更新

从 Vue 到 React：深入理解 useState 的异步更新

目录 从 Vue 到 React：深入理解 useState 的异步更新与函数式写法1. Vue 的响应式回顾：每次赋值立即生效2. React 的状态更新是异步且批量的原因解析 3. 函数式更新：唯一的正确写法4. 对比 Vue vs React 状态更新5. React useState 的核心源码…
阅读更多...
使用Redis实现分布式限流

使用Redis实现分布式限流

一、限流场景与算法选择 1.1 为什么需要分布式限流 在高并发系统中，API接口的突发流量可能导致服务雪崩。传统的单机限流方案在分布式环境下存在局限，需要借助Redis等中间件实现集群级流量控制。 1.2 令牌桶算法优势 允许突发流量：稳定速…
阅读更多...
快速搭建WordPress网站的主题

快速搭建WordPress网站的主题

WP快主题(wpkuai.com )是一款由知名WordPress专业团队打造的专业化WordPress主题，旨在让用户使用该wordpress主题快速搭建网站。 WP快主题专注于快速搭建WordPress网站的主题解决方案。其主题设计注重简洁性与高效性，旨在帮助用户快速完成网站的搭建和部…
阅读更多...
STM32江科大----------PID算法

STM32江科大----------PID算法

声明：本人跟随b站江科大学习，本文章是观看完视频后的一些个人总结和经验分享，也同时为了方便日后的复习，如果有错误请各位大佬指出，如果对你有帮助可以点个赞小小鼓励一下，本文章建议配合原视频使用❤️ 如…
阅读更多...
将JSON格式的SQL查询转换为完整SQL语句的实战解析

将JSON格式的SQL查询转换为完整SQL语句的实战解析

一、背景与需求 在现代数据处理中，JSON格式因其灵活性和可读性，常被用于定义SQL查询的结构。然而，直接编写JSON格式的SQL指令后，如何将其转换为可执行的SQL语句是开发者常遇到的挑战。本文将通过一个Python函数和多个实际案例，解析如何将JSON结构转换为完整的SQL语句，并…
阅读更多...
java CountDownLatch用法简介

java CountDownLatch用法简介

CountDownLatch倒计数锁存器 CountDownLatch：用于协同控制一个或多个线程等待在其他线程中执行的一组操作完成，然后再继续执行 CountDownLatch用法 构造方法：CountDownLatch(int count)，count指定等待的条件数（任务…
阅读更多...
Leetcode - 双周赛135

Leetcode - 双周赛135

目录 一、3512. 使数组和能被 K 整除的最少操作次数二、3513. 不同 XOR 三元组的数目 I三、3514. 不同 XOR 三元组的数目 II四、3515. 带权树中的最短路径 一、3512. 使数组和能被 K 整除的最少操作次数 题目链接 本题实际上求的就是数组 nums 和的余数，代码如下&…
阅读更多...
【后端】【python】利用反射器----动态设置装饰器

【后端】【python】利用反射器----动态设置装饰器

📘 Python 装饰器进阶指南 一、装饰器本质 ✅ 本质概念 Python 装饰器的本质是 函数嵌套 返回函数，它是对已有函数的增强，不修改原函数代码，使用语法糖 decorator 实现包裹效果。 def my_decorator(func):def wrapper(*args, …
阅读更多...
最新文章

Copyright @ 2022~2023