学习参考

Spring Security框架配置运行流程完整分析 - 【必看】

Security OAuth2 授权 & JWT

OAuth2授权流程和源码解析 - 自己总结 - 有道笔记~

Spring Security整合Gitee第三方登录

第三方登录源码梳理 - 自己总结 - 有道笔记~

Security OAuth2 SSO单点登录（一）

Security OAuth2 SSO单点登录源码剖析 - 自己总结 - 有道笔记~

@EnableAuthorizationServer

@EnableAuthorizationServer用于开启授权服务器，它使用@Import注解引入了如下2个配置类：

• AuthorizationServerEndpointsConfiguration

  • 授权服务器端点配置类；
  • 用于引入授权端点、令牌端点、校验令牌端点、授权页面端点、FrameworkEndpoint端点处理器映射器、授权服务器令牌服务、撤销令牌服务、TokenKey令牌密钥端点等组件；
  • 内部创建了1个AuthorizationServerEndpointsConfigurer作为成员变量endpoints，并且会注入容器中所有的AuthorizationServerConfigurer来对该endpoints成员变量进行配置，并且注入容器中的clientDetailsService设置到endpoints中。
  • 当前AuthorizationServerEndpointsConfiguration配置类中的定义的很多端点组件所用到的其它组件都是直接从endpoints成员变量中拿的。

• AuthorizationServerSecurityConfiguration

  • 授权服务器安全配置类，继承自WebSecurityConfigurerAdapter，order为0，其中WebSecurityConfigurerAdapter的order默认为100；重写了父类WebSecurityConfigurerAdapter的configure(AuthenticationManagerBuilder)方法，使得disableLocalConfigureAuthenticationBldr属性为false，即不会从spring容器中获取全局的认证管理器，而是使用localConfigureAuthenticationBldr来构建认证管理器作为ProviderManager的parent属性；
  • 使用@Import引入了ClientDetailsServiceConfiguration客户端服务配置类和AuthorizationServerEndpointsConfiguration授权服务器端点配置类，所以 授权服务器安全配置类 默认就引入了授权服务器端点配置类；
  • 引入的ClientDetailsServiceConfiguration客户端服务配置类中定义了1个ClientDetailsService的bean；
  • 自动注入容器中所有的AuthorizationServerConfigurer，并对自动注入的ClientDetailsService的bean进行配置；
  • 在重写的configure(HttpSecurity)方法中创建了1个AuthorizationServerSecurityConfigurer授权服务器安全配置器，使用自动注入的所有AuthorizationServerConfigurer对该创建的AuthorizationServerSecurityConfigurer授权服务器安全配置器进行配置，并将此权服务器安全配置器添加到HttpSecurity中；这个AuthorizationServerSecurityConfigurer授权服务器安全配置器的作用就是用来配置HttpSecurity的。如果AuthorizationServerEndpointsConfiguration授权服务器端点配置类中的endpoints属性（即AuthorizationServerEndpointsConfigurer配置器）的userDetailsServiceOverride为false（即userDetailsService还未具体设置），那就默认从HttpSecurity的sharedObjects中获取UserDetailsService类型对应的值设置到uthorizationServerEndpointsConfiguration授权服务器端点配置类中的endpoints属性的userDetailsService属性中；为HttpSecurity添加配置类，配置tokenEndpointPath、tokenKeyPath、checkTokenPath路径访问权限和该HttpSecurity仅匹配此3个路径的请求；关闭会话配置类；将自动注入的clientDetailsService添加到HtppSecurity的sharedObjects属性中。

AuthorizationServerEndpointsConfiguration

授权服务器端点配置类

TokenKeyEndpointRegistrar

AuthorizationServerEndpointsConfiguration中使用了@Import注解引入了TokenKeyEndpointRegistrar，这个TokenKeyEndpointRegistrar会寻找容器中的JwtAccessTokenConverter类型的bean，找到第一个JwtAccessTokenConverter类型的bean作为TokenKeyEndpoint的构造方法的参数，于是就注册了处理/oauth/token_key令牌公钥的端点

@Configuration
@Import(TokenKeyEndpointRegistrar.class)  // 使用@Import注解引入了TokenKeyEndpointRegistrar
public class AuthorizationServerEndpointsConfiguration {

TokenKeyEndpointRegistrar实现了BeanDefinitionRegistryPostProcessor

@Override
public void postProcessBeanFactory(ConfigurableListableBeanFactory beanFactory) throws BeansException {// 找到第一个JwtAccessTokenConverter类型的bean作为TokenKeyEndpoint的构造方法的参数String[] names = BeanFactoryUtils.beanNamesForTypeIncludingAncestors(beanFactory,JwtAccessTokenConverter.class,false, false);if (names.length > 0) {BeanDefinitionBuilder builder = BeanDefinitionBuilder.rootBeanDefinition(TokenKeyEndpoint.class);builder.addConstructorArgReference(names[0]);registry.registerBeanDefinition(TokenKeyEndpoint.class.getName(), builder.getBeanDefinition());}
}

endpoints&clientDetailsService&configurers

创建了1个AuthorizationServerEndpointsConfigurer授权服务器端点配置器，它内部维护了很多端点组件需要的属性，需要通过容器中注入的AuthorizationServerConfigurer授权服务器配置器来对授权服务器端点配置器进行设置，这样后面当前AuthorizationServerEndpointsConfiguration类中定义的各个端点组件就可以从授权服务器配置器中拿到需要的属性来完成端点的配置了。

// 授权服务器端点配置器 作为 成员变量 endpoints
private AuthorizationServerEndpointsConfigurer endpoints = new AuthorizationServerEndpointsConfigurer();// 1. 注入容器中的 ClientDetailsService, 它定义在ClientDetailsServiceConfiguration
// 2. 由@EnableAuthorizationServer注解引入的AuthorizationServerSecurityConfiguration类使用@Import导入
@Autowired
private ClientDetailsService clientDetailsService;// 1. 注入容器中的所有授权服务器配置器
// 2. 一般来说, 我们就喜欢在使用@EnableAuthorizationServer注解所标注的类继承自AuthorizationServerConfigurerAdapter
@Autowired
private List<AuthorizationServerConfigurer> configurers = Collections.emptyList();// 初始化方法
@PostConstruct
public void init() {// 1. 遍历所有的 AuthorizationServerConfigurer授权服务器配置器,// 2. 使用这些配置器来配置 AuthorizationServerEndpointsConfiguration类中定义的成员变量 endpoints// 3. endpoints的类型为 AuthorizationServerEndpointsConfigurer 授权服务器端点配置器for (AuthorizationServerConfigurer configurer : configurers) {try {configurer.configure(endpoints);} catch (Exception e) {throw new IllegalStateException("Cannot configure enpdoints", e);}}// 将注入的clientDetailsService设置给 endpoints授权服务器端点配置器endpoints.setClientDetailsService(clientDetailsService);
}

AuthorizationEndpoint授权端点

授权端点用来处理授权请求处理，用户发起对指定客户端的授权，跳转到授权页面，随后，用户同意该授权，发起授权请求，之后由授权模式所指定的类型的授权器处理授权请求。

@Bean
public AuthorizationEndpoint authorizationEndpoint() throws Exception {// 创建1个授权端点组件AuthorizationEndpoint authorizationEndpoint = new AuthorizationEndpoint();// 1. 这个getEndpointsConfigurer()就是去拿AuthorizationServerEndpointsConfiguration的endpoints属性的frameworkEndpointHandlerMapping属性// 2. 这个getEndpointsConfigurer()会确保endpoints属性的defaultTokenServices不为null, 否则会创建1个新的DefaultTokenServices作为令牌服务// 3. 这里的getFrameworkEndpointHandlerMapping()方法会确保endpoints的frameworkEndpointHandlerMapping不为null，否则会创建1个新的FrameworkEndpointHandlerMappingFrameworkEndpointHandlerMapping mapping = getEndpointsConfigurer().getFrameworkEndpointHandlerMapping();// 设置用户授权页面转发路径, 默认为: forward:/oauth/confirm_accessauthorizationEndpoint.setUserApprovalPage(extractPath(mapping, "/oauth/confirm_access"));// 从endpoints中去拿exceptionTranslator属性, 用来处理授权处理过程中的异常authorizationEndpoint.setProviderExceptionHandler(exceptionTranslator());// 设置用户拒绝授权页面转发路径, 默认为: forward:/oauth/errorauthorizationEndpoint.setErrorPage(extractPath(mapping, "/oauth/error"));// 从endpoints中去拿【tokenGranter授权器属性】, 用来支持不同授权模式的授权, 能支持哪些授权类型就是看这个属性// 会确保该授权器不为空, 否则会创建1个组合式的授权器authorizationEndpoint.setTokenGranter(tokenGranter());// 设置客户端信息服务authorizationEndpoint.setClientDetailsService(clientDetailsService);// 从endpoints中去拿authorizationCodeServices服务, 会确保该服务不为空, 否则创建1个InMemoryAuthorizationCodeServicesauthorizationEndpoint.setAuthorizationCodeServices(authorizationCodeServices());// 从endpoints中去拿requestFactory, 会确保该服务不为空, 否则创建1个DefaultOAuth2RequestFactoryauthorizationEndpoint.setOAuth2RequestFactory(oauth2RequestFactory());// 从endpoints中去拿requestValidator, 会确保该服务不为空, 否则创建1个DefaultOAuth2RequestValidatorauthorizationEndpoint.setOAuth2RequestValidator(oauth2RequestValidator());// 从endpoints中去拿userApprovalHandler, 会确保该服务不为空, 否则根据tokenStore的类型创建1个ApprovalStoreUserApprovalHandler或者TokenStoreUserApprovalHandlerauthorizationEndpoint.setUserApprovalHandler(userApprovalHandler());// 从endpoints中去拿redirectResolver, 会确保该服务不为空, 否则创建1个DefaultRedirectResolverauthorizationEndpoint.setRedirectResolver(redirectResolver());return authorizationEndpoint;
}

TokenEndpoint令牌端点

令牌端点用来处理颁发令牌的请求，当客户端根据授权模式发起获取令牌的请求时，由该端点处理

@Bean
public TokenEndpoint tokenEndpoint() throws Exception {// 创建令牌端点组件TokenEndpoint tokenEndpoint = new TokenEndpoint();// 设置客户端信息服务tokenEndpoint.setClientDetailsService(clientDetailsService);// 从endpoints中去拿exceptionTranslator属性, 用来处理授权处理过程中的异常tokenEndpoint.setProviderExceptionHandler(exceptionTranslator());// 从endpoints中去拿【tokenGranter授权器属性】, 用来支持不同授权模式的授权, 能支持哪些授权类型就是看这个属性// 会确保该授权器不为空, 否则会创建1个组合式的授权器tokenEndpoint.setTokenGranter(tokenGranter());// 从endpoints中去拿requestFactory, 会确保该服务不为空, 否则创建1个DefaultOAuth2RequestFactorytokenEndpoint.setOAuth2RequestFactory(oauth2RequestFactory());// 从endpoints中去拿requestValidator, 会确保该服务不为空, 否则创建1个DefaultOAuth2RequestValidatortokenEndpoint.setOAuth2RequestValidator(oauth2RequestValidator());// 从endpoints中去拿allowedTokenEndpointRequestMethods属性, 默认只支持post请求方式tokenEndpoint.setAllowedRequestMethods(allowedTokenEndpointRequestMethods());return tokenEndpoint;
}