Spring （35）OAuth2

OAuth 2.0 是一个开放标准，它允许用户授权第三方应用访问自己在某一网站上的私密资源（如个人信息、相册），而无需将用户名和密码提供给第三方应用。OAuth 2.0 主要用于授权（Authorization），而非认证（Authentication），尽管它常被用来实现第三方登录。

OAuth 2.0 定义了四种授权流程（Grant Types）：

Authorization Code：用于拥有服务端的第三方应用。
Implicit：适用于无服务端的纯前端应用。
Resource Owner Password Credentials：用户直接向第三方应用提供用户名密码，适用于用户和第三方应用高度信任的情况。
Client Credentials：用于客户端访问自己的资源服务器。

OAuth 2.0 关键组件

Resource Owner：拥有被访问资源的用户。
Resource Server：托管用户资源的服务器。
Client：希望访问用户资源的第三方应用。
Authorization Server：负责验证用户身份并向客户端发放访问令牌的服务器。

授权码模式（Authorization Code Grant）

授权码模式通常用于有自己服务器的第三方应用，流程如下：

客户端将用户重定向到授权服务器。
用户同意授权。
授权服务器重定向回客户端，并附上授权码。
客户端使用授权码请求访问令牌。
授权服务器验证授权码和客户端凭证，发放访问令牌。

示例：使用Spring Security实现OAuth 2.0

Spring Security 5 引入了对OAuth 2.0的原生支持。以下是如何在Spring应用中设置OAuth 2.0客户端的一个简单例子。

1. 配置依赖：

在pom.xml中添加Spring Boot Starter OAuth2 Client。

<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>

2. 配置应用属性：

在application.yml中配置客户端ID、客户端密钥、授权服务器和资源服务器的详细信息。

spring:security:oauth2:client:registration:google:client-id: your-client-idclient-secret: your-client-secretredirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"scope: profile, email

3. 安全配置：

使用WebSecurityConfigurerAdapter来配置安全控制，启用OAuth 2.0登录。

@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {@Overrideprotected void configure(HttpSecurity http) throws Exception {http.authorizeRequests().antMatchers("/", "/home").permitAll().anyRequest().authenticated().and().oauth2Login();}
}