Spring 授权服务器核心模型/组件

注册客户

A是向授权服务器注册的客户端的表示形式。 客户端必须先向授权服务器注册，然后才能启动授权流（如 asor）。RegisteredClientauthorization_codeclient_credentials

在客户端注册期间，将为客户端分配一个唯一的客户端标识符、（可选）一个客户端密码（取决于客户端类型）以及与它的唯一客户端标识符关联的元数据。 客户端的元数据范围可以从面向人的显示字符串（如客户端名称）到特定于协议流的项目（如有效重定向 URI 列表）。

客户端的主要用途是请求访问受保护的资源。 客户端首先通过向授权服务器进行身份验证并提供授权来请求访问令牌。 授权服务器对客户端和授权授权进行身份验证，如果它们有效，则颁发访问令牌。 客户端现在可以通过提供访问令牌从资源服务器请求受保护的资源。

以下示例演示如何配置允许执行authorization_code授予流以请求访问令牌的 a：​​RegisteredClient​​

RegisteredClient registeredClient = RegisteredClient.withId(UUID.randomUUID().toString())
  .clientId("client-a")
  .clientSecret("{noop}secret")   
  .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
  .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
  .redirectUri("http://127.0.0.1:8080/authorized")
  .scope("scope-a")
  .clientSettings(ClientSettings.builder().requireAuthorizationConsent(true).build())
  .build();

Spring Security 的OAuth2 客户端支持中的相应配置是：

spring:
  security:
    oauth2:
      client:
        registration:
          client-a:
            provider: spring
            client-id: client-a
            client-secret: secret
            authorization-grant-type: authorization_code
            redirect-uri: "http://127.0.0.1:8080/authorized"
            scope: scope-a
        provider:
          spring:
            issuer-uri: http://localhost:9000

Ahas 具有与其唯一客户端标识符关联的元数据（属性），定义如下：​​RegisteredClient​​

public class RegisteredClient implements Serializable {
  private String id;  
  private String clientId;    
  private Instant clientIdIssuedAt;   
  private String clientSecret;    
  private Instant clientSecretExpiresAt;  
  private String clientName;  
  private Set<ClientAuthenticationMethod> clientAuthenticationMethods;    
  private Set<AuthorizationGrantType> authorizationGrantTypes;    
  private Set<String> redirectUris;   
  private Set<String> scopes; 
  private ClientSettings clientSettings;  
  private TokenSettings tokenSettings;    

  ...

}

注册客户端存储库

这是可以注册新客户端和查询现有客户端的中心组件。 其他组件在遵循特定协议流（如客户端身份验证、授权授权处理、令牌自检、动态客户端注册等）时使用它。​​RegisteredClientRepository​​

提供的实现。 该实现将实例存储在内存中，建议仅在开发期间使用，并 testing.is 通过使用持久化实例的 JDBC 实现。​​RegisteredClientRepository​​​​InMemoryRegisteredClientRepository​​​​JdbcRegisteredClientRepository​​​​InMemoryRegisteredClientRepository​​​​RegisteredClient​​​​JdbcRegisteredClientRepository​​​​RegisteredClient​​​​JdbcOperations​​

以下示例演示如何注册：​​RegisteredClientRepository​​​​@Bean​​

@Bean
public RegisteredClientRepository registeredClientRepository() {
  List<RegisteredClient> registrations = ...
  return new InMemoryRegisteredClientRepository(registrations);
}

或者，您可以通过OAuth2AuthorizationServerConfigurer进行配置：​​RegisteredClientRepository​​

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
  OAuth2AuthorizationServerConfigurer authorizationServerConfigurer =
    new OAuth2AuthorizationServerConfigurer();
  http.apply(authorizationServerConfigurer);

  authorizationServerConfigurer
    .registeredClientRepository(registeredClientRepository);

  ...

  return http.build();
}

OAuth2授权

Anis OAuth2 授权的表示形式，它包含与资源所有者授予客户端的授权相关的状态，如果是授权授权类型，则由资源所有者或自身授予​​。​​​​OAuth2Authorization​​​​client_credentials​​

成功完成授权授权流后，anis 创建并关联 OAuth2AccessToken、（可选）OAuth2RefreshToken 以及特定于已执行授权类型的其他状态。​​OAuth2Authorization​​

与 anvary 关联的OAuth2Token实例，具体取决于授权授权类型。​​OAuth2Authorization​​

对于 OAuth2authorization_code授权，将关联 an、an 和 an（可选）。​​OAuth2AuthorizationCode​​​​OAuth2AccessToken​​​​OAuth2RefreshToken​​

对于 OpenID Connect 1.0authorization_code授予，将关联 an、OidcIdToken、an 和 （可选）。​​OAuth2AuthorizationCode​​​​OAuth2AccessToken​​​​OAuth2RefreshToken​​

对于 OAuth2client_credentials 授权，只有 anis 关联。​​OAuth2AccessToken​​

​​OAuth2Authorization​​其属性定义如下：

public class OAuth2Authorization implements Serializable {
  private String id;  
  private String registeredClientId;  
  private String principalName;   
  private AuthorizationGrantType authorizationGrantType;  
  private Set<String> authorizedScopes;   
  private Map<Class<? extends OAuth2Token>, Token<?>> tokens; 
  private Map<String, Object> attributes; 

  ...

}

​​OAuth2Authorization​​及其关联实例具有固定的生命周期。 新发行的 dis 活动状态，并在过期或失效（吊销）时变为非活动状态。 当所有关联的实例都处于非活动状态时，Theis（隐式）处于非活动状态。 Eachis 保存在 an 中，它为 、 和 提供访问器。​​OAuth2Token​​​​OAuth2Token​​​​OAuth2Authorization​​​​OAuth2Token​​​​OAuth2Token​​​​OAuth2Authorization.Token​​​​isExpired()​​​​isInvalidated()​​​​isActive()​​

​​OAuth2Authorization.Token​​还提供，其返回与声明（如果有的话）相关联的声明。​​getClaims()​​​​OAuth2Token​​

OAuth2授权服务

这是存储新授权和查询现有授权的中心组件。 其他组件在遵循特定协议流时使用它，例如，客户端身份验证、授权处理、令牌自检、令牌吊销、动态客户端注册等。​​OAuth2AuthorizationService​​

提供的实现。 该实现将实例存储在内存中，建议仅在开发期间使用，并 testing.is 通过使用持久化实例的 JDBC 实现。​​OAuth2AuthorizationService​​​​InMemoryOAuth2AuthorizationService​​​​JdbcOAuth2AuthorizationService​​​​InMemoryOAuth2AuthorizationService​​​​OAuth2Authorization​​​​JdbcOAuth2AuthorizationService​​​​OAuth2Authorization​​​​JdbcOperations​​

The following example shows how to register an :​​OAuth2AuthorizationService​​​​@Bean​​

@Bean
public OAuth2AuthorizationService authorizationService() {
  return new InMemoryOAuth2AuthorizationService();
}

Alternatively, you can configure the through the OAuth2AuthorizationServerConfigurer:​​OAuth2AuthorizationService​​

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
  OAuth2AuthorizationServerConfigurer authorizationServerConfigurer =
    new OAuth2AuthorizationServerConfigurer();
  http.apply(authorizationServerConfigurer);

  authorizationServerConfigurer
    .authorizationService(authorizationService);

  ...

  return http.build();
}

OAuth2授权同意

Anis 来自OAuth2 授权请求流的授权“同意”（决策）的表示形式，例如，授予，其中包含资源所有者授予客户端的权限。​​OAuth2AuthorizationConsent​​​​authorization_code​​

授权访问客户端时，资源所有者只能授予客户端请求的权限子集。 典型的用例是授权流，其中客户端请求范围，资源所有者授予（或拒绝）对请求的范围的访问权限。​​authorization_code​​

完成 OAuth2 授权请求流后，anis 创建（或更新）授予的权限并将其与客户端和资源所有者相关联。​​OAuth2AuthorizationConsent​​

​​OAuth2AuthorizationConsent​​其属性定义如下：

public final class OAuth2AuthorizationConsent implements Serializable {
  private final String registeredClientId;    
  private final String principalName; 
  private final Set<GrantedAuthority> authorities;    

  ...

}

OAuth2授权同意服务

这是存储新授权同意和查询现有授权同意的中心组件。 它主要由实现 OAuth2 授权请求流的组件使用，例如授予。​​OAuth2AuthorizationConsentService​​​​authorization_code​​

提供的实现。 该实现将实例存储在内存中，建议仅用于开发和 testing.is JDBC 实现，该实现通过使用持久化实例。​​OAuth2AuthorizationConsentService​​​​InMemoryOAuth2AuthorizationConsentService​​​​JdbcOAuth2AuthorizationConsentService​​​​InMemoryOAuth2AuthorizationConsentService​​​​OAuth2AuthorizationConsent​​​​JdbcOAuth2AuthorizationConsentService​​​​OAuth2AuthorizationConsent​​​​JdbcOperations​​

以下示例演示如何注册：​​OAuth2AuthorizationConsentService​​​​@Bean​​

@Bean
public OAuth2AuthorizationConsentService authorizationConsentService() {
  return new InMemoryOAuth2AuthorizationConsentService();
}

或者，您可以通过OAuth2AuthorizationServerConfigurer进行配置：​​OAuth2AuthorizationConsentService​​

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
  OAuth2AuthorizationServerConfigurer authorizationServerConfigurer =
    new OAuth2AuthorizationServerConfigurer();
  http.apply(authorizationServerConfigurer);

  authorizationServerConfigurer
    .authorizationConsentService(authorizationConsentService);

  ...

  return http.build();
}

OAuth2TokenContext

Anis 保存与 anand 关联的信息的上下文对象由 OAuth2TokenGenerator 和OAuth2TokenCustomizer 使用。​​OAuth2TokenContext​​​​OAuth2Token​​

​​OAuth2TokenContext​​提供以下访问器：

public interface OAuth2TokenContext extends Context {

  default RegisteredClient getRegisteredClient() ...  

  default <T extends Authentication> T getPrincipal() ... 

  default AuthorizationServerContext getAuthorizationServerContext() ...    

  @Nullable
  default OAuth2Authorization getAuthorization() ...  

  default Set<String> getAuthorizedScopes() ...   

  default OAuth2TokenType getTokenType() ...  

  default AuthorizationGrantType getAuthorizationGrantType() ...  

  default <T extends Authentication> T getAuthorizationGrant() ...    

  ...

}

OAuth2TokenGenerator

Anis 负责从提供的OAuth2TokenContext 中包含的信息生成信息。​​OAuth2TokenGenerator​​​​OAuth2Token​​

生成的主要取决于类型中指定的。​​OAuth2Token​​​​OAuth2TokenType​​​​OAuth2TokenContext​​

例如，当福里斯：​​value​​​​OAuth2TokenType​​

• ​​code​​，然后生成。OAuth2AuthorizationCode
• ​​access_token​​，然后生成。OAuth2AccessToken
• ​​refresh_token​​，然后生成。OAuth2RefreshToken
• ​​id_token​​，然后生成。OidcIdToken

此外，生成的格式会有所不同，具体取决于已注册客户端的配置。 如果格式为（默认值），则生成 ais 。 如果格式为，则会生成“不透明”令牌。​​OAuth2AccessToken​​​​TokenSettings.getAccessTokenFormat()​​​​OAuth2TokenFormat.SELF_CONTAINED​​​​Jwt​​​​OAuth2TokenFormat.REFERENCE​​

最后，如果生成的声明和实现有一组，则可以从OAuth2Authorization.Token.getClaims（）访问这些声明。​​OAuth2Token​​​​ClaimAccessor​​

主要由实现授权授权处理的组件使用,,,​​OAuth2TokenGenerator​​​​authorization_code​​​​client_credentials​​​​refresh_token​​

提供的实现是、和。 生成一个“不透明”（） 访问令牌，并生成 a（）。​​OAuth2AccessTokenGenerator​​​​OAuth2RefreshTokenGenerator​​​​JwtGenerator​​​​OAuth2AccessTokenGenerator​​​​OAuth2TokenFormat.REFERENCE​​​​JwtGenerator​​​​Jwt​​​​OAuth2TokenFormat.SELF_CONTAINED​​

这提供了极大的灵活性，因为它可以支持任何自定义令牌格式。​​OAuth2TokenGenerator​​​​access_token​​​​refresh_token​​

以下示例演示如何注册：​​OAuth2TokenGenerator​​​​@Bean​​

@Bean
public OAuth2TokenGenerator<?> tokenGenerator() {
  JwtEncoder jwtEncoder = ...
  JwtGenerator jwtGenerator = new JwtGenerator(jwtEncoder);
  OAuth2AccessTokenGenerator accessTokenGenerator = new OAuth2AccessTokenGenerator();
  OAuth2RefreshTokenGenerator refreshTokenGenerator = new OAuth2RefreshTokenGenerator();
  return new DelegatingOAuth2TokenGenerator(
      jwtGenerator, accessTokenGenerator, refreshTokenGenerator);
}

或者，您可以通过OAuth2AuthorizationServerConfigurer进行配置：​​OAuth2TokenGenerator​​

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
  OAuth2AuthorizationServerConfigurer authorizationServerConfigurer =
    new OAuth2AuthorizationServerConfigurer();
  http.apply(authorizationServerConfigurer);

  authorizationServerConfigurer
    .tokenGenerator(tokenGenerator);

  ...

  return http.build();
}

OAuth2TokenCustomizer

An提供了自定义属性的功能，这些属性可在提供的OAuth2TokenContext中访问。 它由OAuth2TokenGenerator使用，以使其在生成之前自定义属性。​​OAuth2TokenCustomizer​​​​OAuth2Token​​​​OAuth2Token​​

使用泛型类型 of（） 声明提供了自定义声明“不透明”的能力。提供对 的访问，允许添加、替换和删除声明。​​OAuth2TokenCustomizer<OAuth2TokenClaimsContext>​​​​OAuth2TokenClaimsContext​​​​implements OAuth2TokenContext​​​​OAuth2AccessToken​​​​OAuth2TokenClaimsContext.getClaims()​​​​OAuth2TokenClaimsSet.Builder​​

以下示例演示如何实现 anand 配置它：​​OAuth2TokenCustomizer<OAuth2TokenClaimsContext>​​​​OAuth2AccessTokenGenerator​​

@Bean
public OAuth2TokenGenerator<?> tokenGenerator() {
  JwtEncoder jwtEncoder = ...
  JwtGenerator jwtGenerator = new JwtGenerator(jwtEncoder);
  OAuth2AccessTokenGenerator accessTokenGenerator = new OAuth2AccessTokenGenerator();
  accessTokenGenerator.setAccessTokenCustomizer(accessTokenCustomizer());
  OAuth2RefreshTokenGenerator refreshTokenGenerator = new OAuth2RefreshTokenGenerator();
  return new DelegatingOAuth2TokenGenerator(
      jwtGenerator, accessTokenGenerator, refreshTokenGenerator);
}

@Bean
public OAuth2TokenCustomizer<OAuth2TokenClaimsContext> accessTokenCustomizer() {
  return context -> {
    OAuth2TokenClaimsSet.Builder claims = context.getClaims();
    // Customize claims

  };
}

使用泛型类型 of（） 声明提供了自定义标头和声明的能力 a。提供对 的访问，允许添加、替换和删除标头。提供对 的访问，允许添加、替换和删除声明。​​OAuth2TokenCustomizer<JwtEncodingContext>​​​​JwtEncodingContext​​​​implements OAuth2TokenContext​​​​Jwt​​​​JwtEncodingContext.getHeaders()​​​​JwsHeader.Builder​​​​JwtEncodingContext.getClaims()​​​​JwtClaimsSet.Builder​​

以下示例演示如何使用 aand 对其进行配置：​​OAuth2TokenCustomizer<JwtEncodingContext>​​​​JwtGenerator​​

@Bean
public OAuth2TokenGenerator<?> tokenGenerator() {
  JwtEncoder jwtEncoder = ...
  JwtGenerator jwtGenerator = new JwtGenerator(jwtEncoder);
  jwtGenerator.setJwtCustomizer(jwtCustomizer());
  OAuth2AccessTokenGenerator accessTokenGenerator = new OAuth2AccessTokenGenerator();
  OAuth2RefreshTokenGenerator refreshTokenGenerator = new OAuth2RefreshTokenGenerator();
  return new DelegatingOAuth2TokenGenerator(
      jwtGenerator, accessTokenGenerator, refreshTokenGenerator);
}

@Bean
public OAuth2TokenCustomizer<JwtEncodingContext> jwtCustomizer() {
  return context -> {
    JwsHeader.Builder headers = context.getHeaders();
    JwtClaimsSet.Builder claims = context.getClaims();
    if (context.getTokenType().equals(OAuth2TokenType.ACCESS_TOKEN)) {
      // Customize headers/claims for access_token

    } else if (context.getTokenType().getValue().equals(OidcParameterNames.ID_TOKEN)) {
      // Customize headers/claims for id_token

    }
  };
}