首页 文章 精选 留言 我的

架构师之路-如何构建rest接口的安全性访问（dubbox+oatuh2+rest）

2017-10-11 466

建立oauth2认证需要的数据库及数据表结构

CREATE SCHEMA IF NOT EXISTS `oauth2` DEFAULT CHARACTER SET utf8 ;

USE `oauth2` ;

 

-- -----------------------------------------------------

-- Table `oauth2`.`clientdetails`

-- -----------------------------------------------------

CREATE TABLE IF NOT EXISTS `oauth2`.`clientdetails` (

  `appId` VARCHAR(128) NOT NULL,

  `resourceIds` VARCHAR(256) NULL DEFAULT NULL,

  `appSecret` VARCHAR(256) NULL DEFAULT NULL,

  `scope` VARCHAR(256) NULL DEFAULT NULL,

  `grantTypes` VARCHAR(256) NULL DEFAULT NULL,

  `redirectUrl` VARCHAR(256) NULL DEFAULT NULL,

  `authorities` VARCHAR(256) NULL DEFAULT NULL,

  `access_token_validity` INT(11) NULL DEFAULT NULL,

  `refresh_token_validity` INT(11) NULL DEFAULT NULL,

  `additionalInformation` VARCHAR(4096) NULL DEFAULT NULL,

  `autoApproveScopes` VARCHAR(256) NULL DEFAULT NULL,

  PRIMARY KEY (`appId`))

ENGINE = InnoDB

DEFAULT CHARACTER SET = utf8;

 

 

-- -----------------------------------------------------

-- Table `oatuh2`.`oauth_access_token`

-- -----------------------------------------------------

CREATE TABLE IF NOT EXISTS `oauth2`.`oauth_access_token` (

  `token_id` VARCHAR(256) NULL DEFAULT NULL,

  `token` BLOB NULL DEFAULT NULL,

  `authentication_id` VARCHAR(128) NOT NULL,

  `user_name` VARCHAR(256) NULL DEFAULT NULL,

  `client_id` VARCHAR(256) NULL DEFAULT NULL,

  `authentication` BLOB NULL DEFAULT NULL,

  `refresh_token` VARCHAR(256) NULL DEFAULT NULL,

  PRIMARY KEY (`authentication_id`))

ENGINE = InnoDB

DEFAULT CHARACTER SET = utf8;

 

 

-- -----------------------------------------------------

-- Table `oatuh2`.`oauth_approvals`

-- -----------------------------------------------------

CREATE TABLE IF NOT EXISTS `oauth2`.`oauth_approvals` (

  `userId` VARCHAR(256) NULL DEFAULT NULL,

  `clientId` VARCHAR(256) NULL DEFAULT NULL,

  `scope` VARCHAR(256) NULL DEFAULT NULL,

  `status` VARCHAR(10) NULL DEFAULT NULL,

  `expiresAt` DATETIME NULL DEFAULT NULL,

  `lastModifiedAt` DATETIME NULL DEFAULT NULL)

ENGINE = InnoDB

DEFAULT CHARACTER SET = utf8;

 

 

-- -----------------------------------------------------

-- Table `oatuh2`.`oauth_client_details`

-- -----------------------------------------------------

CREATE TABLE IF NOT EXISTS `oauth2`.`oauth_client_details` (

  `client_id` VARCHAR(128) NOT NULL,

  `resource_ids` VARCHAR(256) NULL DEFAULT NULL,

  `client_secret` VARCHAR(256) NULL DEFAULT NULL,

  `scope` VARCHAR(256) NULL DEFAULT NULL,

  `authorized_grant_types` VARCHAR(256) NULL DEFAULT NULL,

  `web_server_redirect_uri` VARCHAR(256) NULL DEFAULT NULL,

  `authorities` VARCHAR(256) NULL DEFAULT NULL,

  `access_token_validity` INT(11) NULL DEFAULT NULL,

  `refresh_token_validity` INT(11) NULL DEFAULT NULL,

  `additional_information` VARCHAR(4096) NULL DEFAULT NULL,

  `autoapprove` VARCHAR(256) NULL DEFAULT NULL,

  PRIMARY KEY (`client_id`))

ENGINE = InnoDB

DEFAULT CHARACTER SET = utf8;

 

 

-- -----------------------------------------------------

-- Table `oatuh2`.`oauth_client_token`

-- -----------------------------------------------------

CREATE TABLE IF NOT EXISTS `oauth2`.`oauth_client_token` (

  `token_id` VARCHAR(256) NULL DEFAULT NULL,

  `token` BLOB NULL DEFAULT NULL,

  `authentication_id` VARCHAR(128) NOT NULL,

  `user_name` VARCHAR(256) NULL DEFAULT NULL,

  `client_id` VARCHAR(256) NULL DEFAULT NULL,

  PRIMARY KEY (`authentication_id`))

ENGINE = InnoDB

DEFAULT CHARACTER SET = utf8;

 

 

-- -----------------------------------------------------

-- Table `oatuh2`.`oauth_code`

-- -----------------------------------------------------

CREATE TABLE IF NOT EXISTS `oauth2`.`oauth_code` (

  `code` VARCHAR(256) NULL DEFAULT NULL,

  `authentication` BLOB NULL DEFAULT NULL)

ENGINE = InnoDB

DEFAULT CHARACTER SET = utf8;

 

 

-- -----------------------------------------------------

-- Table `oatuh2`.`oauth_refresh_token`

-- -----------------------------------------------------

CREATE TABLE IF NOT EXISTS `oauth2`.`oauth_refresh_token` (

  `token_id` VARCHAR(256) NULL DEFAULT NULL,

  `token` BLOB NULL DEFAULT NULL,

  `authentication` BLOB NULL DEFAULT NULL)

ENGINE = InnoDB

DEFAULT CHARACTER SET = utf8;

 

>>前提:  使用Maven来管理项目; spring-security-oauth的版本号为 2.0.10.RELEASE


1. 添加Maven dependencies; 以下只列出了主要的

  1.   

  2. <dependency>  

  3.     <groupId>org.springframework.securitygroupId>  

  4.     <artifactId>spring-security-coreartifactId>  

  5.     <version>${spring.security.version}version>  

  6. dependency>  

  7. <dependency>  

  8.     <groupId>org.springframework.securitygroupId>  

  9.     <artifactId>spring-security-webartifactId>  

  10.     <version>${spring.security.version}version>  

  11. dependency>  

  12. <dependency>  

  13.     <groupId>org.springframework.securitygroupId>  

  14.     <artifactId>spring-security-taglibsartifactId>  

  15.     <version>${spring.security.version}version>  

  16. dependency>  

  17. <dependency>  

  18.     <groupId>org.springframework.securitygroupId>  

  19.     <artifactId>spring-security-aclartifactId>  

  20.     <version>${spring.security.version}version>  

  21. dependency>  

  22. <dependency>  

  23.     <groupId>org.springframework.securitygroupId>  

  24.     <artifactId>spring-security-cryptoartifactId>  

  25.     <version>${spring.security.version}version>  

  26. dependency>  

  27. <dependency>  

  28.     <groupId>org.springframework.securitygroupId>  

  29.     <artifactId>spring-security-configartifactId>  

  30.     <version>${spring.security.version}version>  

  31. dependency>  

  32.   

  33. <dependency>  

  34.     <groupId>org.springframework.security.oauthgroupId>  

  35.     <artifactId>spring-security-oauth2artifactId>  

  36.     <version>1.0.5.RELEASEversion>  

  37. dependency>  


2. web.xml配置; 这一步与只使用Spring Security的配置一样.


  1. pre><pre code_snippet_id="73897" snippet_file_name="blog_20131119_2_2257675" name="code" class="html">    <filter>  

  2.         <filter-name>springSecurityFilterChainfilter-name>  

  3.         <filter-class>org.springframework.web.filter.DelegatingFilterProxyfilter-class>  

  4.     filter>  

  5.   

  6.     <filter-mapping>  

  7.         <filter-name>springSecurityFilterChainfilter-name>  

  8.         <url-pattern>/*url-pattern>  

  9.     filter-mapping>  

  10.   

  11.       

  12.     <context-param>  

  13.         <param-name>contextConfigLocationparam-name>  

  14.         <param-value>classpath:spring/*.xmlparam-value>  

  15.     context-param>  

  16.   

  17.       

  18.     <listener>  

  19.         <listener-class>org.springframework.web.context.ContextLoaderListenerlistener-class>  

  20.     listener>  

  21.   

  22.       

  23.     <servlet>  

  24.         <servlet-name>hyservlet-name>  

  25.         <servlet-class>org.springframework.web.servlet.DispatcherServletservlet-class>  

  26.         <load-on-startup>2load-on-startup>  

  27.     servlet>  

  28.     <servlet-mapping>  

  29.         <servlet-name>hyservlet-name>  

  30.         <url-pattern>/url-pattern>  

  31.     servlet-mapping>  


对于Spring MVC, 需要配置文件hy-servlet.xml, 该文件不是这儿关注的(忽略); 


在classpath创建spring目录, 在该目录里创建 security.xml 文件, 这是所有步骤配置的重点.


3.security.xml的配置; 重点开始.


3.1 起用注解; TokenEndpoint与AuthorizationEndpoint需要


  1. <mvc:annotation-driven/>  

  2. <mvc:default-servlet-handler/>  


3.2  TokenServices 配置


   1). TokenStore, 使用JdbcTokenStore, 将token信息存放数据库, 需要提供一个dataSource对象; 也可使用InMemoryTokenStore存于内存中

  1.   

  2. <beans:bean id="tokenStore" class="org.springframework.security.oauth2.provider.token.JdbcTokenStore">  

  3.     <beans:constructor-arg index="0" ref="dataSource"/>  

  4. beans:bean>  


注: 可以在spring-security-oauth2中找到对应的SQL脚本, 地址为https://github.com/spring-projects/spring-security-oauth/tree/master/spring-security-oauth2/src/test/resources, 目录中的schema.sql 即是. (以下不再说明SQL脚本的问题)


  2).TokenServices; 需要注入TokenStore


  1. <beans:bean id="tokenServices" class="org.springframework.security.oauth2.provider.token.DefaultTokenServices">  

  2.     <beans:property name="tokenStore" ref="tokenStore"/>  

  3.     <beans:property name="supportRefreshToken" value="true"/>  

  4. beans:bean>  


      如果允许刷新token 请将supportRefreshToken 的值设置为true, 默认为不允许


3.3 ClientDetailsService 配置, 使用JdbcClientDetailsService, 也需要提供dataSource, 替换demo中直接配置在配置文件中


  1. <beans:bean id="clientDetailsService" class="org.springframework.security.oauth2.provider.JdbcClientDetailsService">  

  2.     <beans:constructor-arg index="0" ref="dataSource"/>  

  3. beans:bean>  


3.4 ClientDetailsUserDetailsService配置, 该类实现了Spring security中 UserDetailsService 接口


  1. <beans:bean id="oauth2ClientDetailsUserService"  

  2.             class="org.springframework.security.oauth2.provider.client.ClientDetailsUserDetailsService">  

  3.     <beans:constructor-arg ref="clientDetailsService"/>  

  4. beans:bean>  


3.5 OAuth2AuthenticationEntryPoint配置


  1. <beans:bean id="oauth2AuthenticationEntryPoint"  

  2.             class="org.springframework.security.oauth2.provider.error.OAuth2AuthenticationEntryPoint"/>  


3.6 oauth2 AuthenticationManager配置; 在整个配置中,有两个AuthenticationManager需要配置


  1. <authentication-manager id="oauth2AuthenticationManager">  

  2.     <authentication-provider user-service-ref="oauth2ClientDetailsUserService"/>  

  3. authentication-manager>  


第二个AuthenticationManager用于向获取UserDetails信息, 


  1. <authentication-manager alias="authenticationManager">  

  2.     <authentication-provider user-service-ref="userService">  

  3.         <password-encoder hash="md5"/>  

  4.     authentication-provider>  

  5. authentication-manager>  


userService是一个实现UserDetailsService的Bean


3.7 OAuth2AccessDeniedHandler配置, 实现AccessDeniedHandler接口


  1. <beans:bean id="oauth2AccessDeniedHandler"  

  2.             class="org.springframework.security.oauth2.provider.error.OAuth2AccessDeniedHandler"/>  


3.8 UserApprovalHandler配置, 这儿使用DefaultUserApprovalHandler, 这里是实现client是否可信任的关键点,你可以扩展该接口来自定义approval行为


  1. <beans:bean id="oauthUserApprovalHandler" class="org.springframework.security.oauth2.provider.approval.DefaultUserApprovalHandler">  

  2. beans:bean>  


3.9 authorization-server配置, 核心


  1. <oauth2:authorization-server client-details-service-ref="clientDetailsService" token-services-ref="tokenServices"  

  2.                              user-approval-handler-ref="oauthUserApprovalHandler">  

  3.     <oauth2:authorization-code/>  

  4.     <oauth2:implicit/>  

  5.     <oauth2:refresh-token/>  

  6.     <oauth2:client-credentials/>  

  7.     <oauth2:password/>  

  8. oauth2:authorization-server>  


该元素里面的每个标签可设置每一种authorized-grant-type的行为. 如disable refresh-token的配置为


  1. <oauth2:refresh-token disabled="true"/>  


3.10 Oauth2 AccessDecisionManager配置, 这儿在默认的Spring Security AccessDecisionManager的基础上添加了ScopeVoter


  1. <beans:bean id="oauth2AccessDecisionManager" class="org.springframework.security.access.vote.UnanimousBased">  

  2.     <beans:constructor-arg>  

  3.         <beans:list>  

  4.             <beans:bean class="org.springframework.security.oauth2.provider.vote.ScopeVoter"/>  

  5.             <beans:bean class="org.springframework.security.access.vote.RoleVoter"/>  

  6.             <beans:bean class="org.springframework.security.access.vote.AuthenticatedVoter"/>  

  7.         beans:list>  

  8.     beans:constructor-arg>  

  9. beans:bean>  


3.11 resource-server配置, 这儿定义两咱不同的resource

  1.   

  2. <oauth2:resource-server id="unityResourceServer" resource-id="unity-resource" token-services-ref="tokenServices"/>  

  3.   

  4.   

  5. <oauth2:resource-server id="mobileResourceServer" resource-id="mobile-resource" token-services-ref="tokenServices"/>  


注意: 每个resource-id的值必须在对应的ClientDetails中resourceIds值中存在


3.12 ClientCredentialsTokenEndpointFilter配置, 该Filter将作用于Spring Security的chain 链条中


  1. <beans:bean id="clientCredentialsTokenEndpointFilter"  

  2.             class="org.springframework.security.oauth2.provider.client.ClientCredentialsTokenEndpointFilter">  

  3.     <beans:property name="authenticationManager" ref="oauth2AuthenticationManager"/>  

  4. beans:bean>  


3.13 /oauth/token 的http 配置, 用于监听该URL的请求, 核心


  1. <http pattern="/oauth/token" create-session="stateless" authentication-manager-ref="oauth2AuthenticationManager"  

  2.       entry-point-ref="oauth2AuthenticationEntryPoint">  

  3.     <intercept-url pattern="/oauth/token" access="IS_AUTHENTICATED_FULLY"/>  

  4.     <anonymous enabled="false"/>  

  5.     <http-basic entry-point-ref="oauth2AuthenticationEntryPoint"/>  

  6.   

  7.     <custom-filter ref="clientCredentialsTokenEndpointFilter" before="BASIC_AUTH_FILTER"/>  

  8.     <access-denied-handler ref="oauth2AccessDeniedHandler"/>  

  9. http>  



3.14 针对不同resource的http配置, 由于上面配置了两个resource, 这儿也配置两个

  1.   

  2. <http pattern="/unity/**" create-session="never" entry-point-ref="oauth2AuthenticationEntryPoint"  

  3.       access-decision-manager-ref="oauth2AccessDecisionManager">  

  4.     <anonymous enabled="false"/>  

  5.   

  6.     <intercept-url pattern="/unity/**" access="ROLE_UNITY,SCOPE_READ"/>  

  7.   

  8.     <custom-filter ref="unityResourceServer" before="PRE_AUTH_FILTER"/>  

  9.     <access-denied-handler ref="oauth2AccessDeniedHandler"/>  

  10. http>  

  11.   

  12.   

  13. <http pattern="/m/**" create-session="never" entry-point-ref="oauth2AuthenticationEntryPoint"  

  14.       access-decision-manager-ref="oauth2AccessDecisionManager">  

  15.     <anonymous enabled="false"/>  

  16.   

  17.     <intercept-url pattern="/m/**" access="ROLE_MOBILE,SCOPE_READ"/>  

  18.   

  19.     <custom-filter ref="mobileResourceServer" before="PRE_AUTH_FILTER"/>  

  20.     <access-denied-handler ref="oauth2AccessDeniedHandler"/>  

  21. http>  


注意每一个http对应不同的resourceServer. access-decison-manager-ref对应Oauth的AccessDecisionManager



3.15 默认的http配置,给/oauth/** 设置权限



  1. <http access-denied-page="/login.jsp?authorization_error=2" disable-url-rewriting="true"  

  2.       authentication-manager-ref="authenticationManager">  

  3.     <intercept-url pattern="/oauth/**" access="ROLE_USER,ROLE_UNITY,ROLE_MOBILE"/>  

  4.     <intercept-url pattern="/**" access="IS_AUTHENTICATED_ANONYMOUSLY"/>  

  5.   

  6.     <form-login authentication-failure-url="/login.jsp?authentication_error=1" default-target-url="/index.jsp"  

  7.                 login-page="/login.jsp" login-processing-url="/login.do"/>  

  8.     <logout logout-success-url="/index.jsp" logout-url="/logout.do"/>  

  9.     <anonymous/>  

  10. http>  



到此, securiy.xml 配置完毕.


当然,还有些额外的工作你需要做, 如配置dataSource, 创建数据库, 添加用户用户信息, 管理ClientDetails等等.

Oauth相关的数据都是存放在数据库, 我们就可以根据表结果创建domain来实现管理.


更多参考内容： http://www.roncoo.com/article/index
上一篇 下一篇
优秀的个人博客,低调大师

微信关注我们

原文链接：https://yq.aliyun.com/articles/223376

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Linux版Skype获得微软额外关照 界面比过去版本更干净更现代化

Linux版Skype正在获得微软额外关照，微软正在持续不断提升Linux版Skype beta。上个月，在Windows和MacOS平台上推出重新设计的Skype，提升用户体验之后，该公司也推出了相应的Linux版本，不过，此测试版之前还有一个已经存在于该平台上Skype beta版本，并且新版本并未覆盖旧版本。 幸运的是，微软已经免除了Linux用户的困惑，并将Skype测试版的两个版本合二为一，重新设计的版本现在可以作为旧版本的更新提供给用户升级。该测试版带来了全新设计，比过去Skype更干净，更现代化，并且还提供了一些黑色主题，另外还有新的emoji表情和屏幕共享选项。 Linux用户可以在这里注册Skype Insider，尝试全新Skype体验。Skype是微软最大和最突出的产品之一，微软以85亿美元收购Skype，该公司对该平台雄心勃勃。随着设计和架构的多次重新设计，旨在Skype现代化，并且提供其它消息传递服务。 本文转自d1net（转载）
2017-10-12
612
上一篇

摩尔定律失效！光子芯片研究重大突破：电脑性能暴增

“每隔24个月芯片晶体管数量增加一倍”，在过去四十年，Intel创始人之一戈登·摩尔提出的摩尔定律一直推送电子行业的发展。 但在过去几年，业内“摩尔定律”失效的声音不断，在9月26日的NVIDIA GTC大会上，黄仁勋在在开场后的前5分钟，就直截了当的表示“摩尔定律已经终结”——“设计人员无法再创造出以实现更高指令级并行性的CPU架构”“晶体管数每年增长50%，但CPU的性能每年仅增长10%”。 在未来，人类可能无法再靠过去晶体管堆叠的方式来提升计算机的性能，光子芯片被认为是未来的主要发展方向之一。 据新华社报道，英国牛津大学日前宣布，其研究人员在光子芯片研发方面取得突破，能够模拟人脑神经突触的结构形成可高速传递信息的“光子突触”，这种技术今后可能有助大幅提高电脑的速度。 牛津大学教授哈里什·巴斯卡兰表示，过去数十年，业内一直在致力于研发出能像人脑一样运转的电脑，大量神经元通过突触互相连接，同时处理和存储大量信息，十分高效，耗能也很低。 据了解，英国牛津大学的研究人员使用特殊的相变材料与集成光路开发出一种光子芯片，可形成与人脑相似的“光子突触”，其运行速度比人脑神经突触快1000倍。 ...
2017-10-12
546
下一篇

相关文章

发表评论

资源下载

更多资源
优质分享App

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

时间: 2025-12-03 大小: 4.36MB 下载: 23次
Nacos

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

时间: 2025-12-21 大小: 189MB 下载: 2次
Rocky Linux

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

时间: 2026-01-03 大小: 1.42GB 下载: 2次
Sublime Text

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。

时间: 2025-12-03 大小: 9.84MB 下载: 39次
手机查看

扫码在手机上查看文章

扫描二维码，手机阅读更方便

热门标签
HarmonyOS6 Nacos3 DeepSeek Service Mesh Jdk25 Rocky Kubernetes Docker SpringCloud Gemini3 SpringBoot4 OpenAi Redis

欢迎您来访！

登录后，您将获得更多功能！
热门文章
联系我们

有任何问题或合作意向欢迎联系我们

Email: 99873273@qq.com

QQ: 99873273

用户登录
用户注册