Spring Security OAuth2 JWT

# 1、概括

在博客中，我们将讨论如何让 Spring Security OAuth2 实现使用 JSON Web Tokens。

# 2、Maven 配置

首先，我们需要在我们的 pom.xml 中添加 spring-security-jwt 依赖项。

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-jwt</artifactId>
</dependency>

我们需要为 Authorization Server 和 Resource Server 添加 spring-security-jwt 依赖项。

如果使用的是使用的如下依赖方式

<!-- Spring Security -->
<dependency>
  <groupId>org.springframework.cloud</groupId>
  <artifactId>spring-cloud-starter-oauth2</artifactId>
</dependency>

包含了org.springframework.security.oauth.boot:spring-security-oauth2-autoconfigure下org.springframework.security:spring-security-jwt

# 3、授权服务器

接下来，我们将配置我们的授权服务器使用 JwtTokenStore - 如下所示

@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.tokenStore(tokenStore())
                 .accessTokenConverter(accessTokenConverter())
                 .authenticationManager(authenticationManager);
    }

    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }

    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey("123");
        return converter;
    }

    @Bean
    @Primary
    public DefaultTokenServices tokenServices() {
        DefaultTokenServices defaultTokenServices = new DefaultTokenServices();
        defaultTokenServices.setTokenStore(tokenStore());
        defaultTokenServices.setSupportRefreshToken(true);
        return defaultTokenServices;
    }
}

请注意，在 JwtAccessTokenConverter 中使用了一个对称密钥来签署我们的令牌 - 这意味着我们需要为资源服务器使用同样的确切密钥。

关键点: 覆盖 tokenStore() 方法

# 4、资源服务器

现在，我们来看看我们的资源服务器配置 - 这与授权服务器的配置非常相似：

@Configuration
@EnableResourceServer
public class OAuth2ResourceServerConfig extends ResourceServerConfigurerAdapter {
    @Override
    public void configure(ResourceServerSecurityConfigurer config) {
        config.tokenServices(tokenServices());
    }

    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }

    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey("123");
        return converter;
    }

    @Bean
    @Primary
    public DefaultTokenServices tokenServices() {
        DefaultTokenServices defaultTokenServices = new DefaultTokenServices();
        defaultTokenServices.setTokenStore(tokenStore());
        return defaultTokenServices;
    }
}

请记住，我们将这两个服务器定义为完全独立且可独立部署的服务器。这就是我们需要在新配置中再次声明一些相同的 bean 的原因。

# 5、令牌中的自定义声明

现在让我们设置一些基础设施，以便能够在访问令牌中添加一些自定义声明。框架提供的标准声明都很好，但大多数情况下我们需要在令牌中使用一些额外的信息来在客户端使用。我们将定义一个 TokenEnhancer 来定制我们的 Access Token 与这些额外的声明。在下面的例子中，我们将添加一个额外的字段“组织”到我们的访问令牌 - 与此 CustomTokenEnhancer：

public class CustomTokenEnhancer implements TokenEnhancer {
    @Override
    public OAuth2AccessToken enhance(
     OAuth2AccessToken accessToken,
     OAuth2Authentication authentication) {
        Map<String, Object> additionalInfo = new HashMap<>();
        additionalInfo.put("organization", authentication.getName() + randomAlphabetic(4));
        ((DefaultOAuth2AccessToken) accessToken).setAdditionalInformation(additionalInfo);
        return accessToken;
    }
}

然后，我们将把它连接到我们的授权服务器配置 - 如下所示：

@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
    TokenEnhancerChain tokenEnhancerChain = new TokenEnhancerChain();
    tokenEnhancerChain.setTokenEnhancers(
      Arrays.asList(tokenEnhancer(), accessTokenConverter()));

    endpoints.tokenStore(tokenStore())
             .tokenEnhancer(tokenEnhancerChain)
             .authenticationManager(authenticationManager);
}

@Bean
public TokenEnhancer tokenEnhancer() {
    return new CustomTokenEnhancer();
}

有了这个新的配置启动和运行 - 这是一个令牌令牌有效载荷看起来像：

{
  "user_name": "john",
  "scope": ["foo", "read", "write"],
  "organization": "johnIiCh",
  "exp": 1458126622,
  "authorities": ["ROLE_USER"],
  "jti": "e0ad1ef3-a8a5-4eef-998d-00b26bc2c53f",
  "client_id": "fooClientIdPassword"
}

# 5.1、在 JS 客户端使用访问令牌

最后，我们要在 AngualrJS 客户端应用程序中使用令牌信息。我们将使用 angular-jwt 库。所以我们要做的就是在 index.html 中使用“组织”声明：

<p class="navbar-text navbar-right">{{organization}}</p>

<script type="text/javascript"
  src="https://cdn.rawgit.com/auth0/angular-jwt/master/dist/angular-jwt.js">
</script>

<script>
var app = angular.module('myApp', ["ngResource","ngRoute", "ngCookies", "angular-jwt"]);

app.controller('mainCtrl', function($scope, $cookies, jwtHelper,...) {
    $scope.organiztion = "";

    function getOrganization(){
        var token = $cookies.get("access_token");
        var payload = jwtHelper.decodeToken(token);
        $scope.organization = payload.organization;
    }
    ...
});

# 6、不对称的 KeyPair

在我们以前的配置中，我们使用对称密钥来签署我们的令牌：

@Bean
public JwtAccessTokenConverter accessTokenConverter() {
    JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
    converter.setSigningKey("123");
    return converter;
}

我们还可以使用非对称密钥（公钥和私钥）来执行签名过程。

# 6.1、生成 JKS Java KeyStore 文件

我们首先使用命令行工具 keytool 生成密钥 - 更具体地说.jks 文件：

keytool -genkeypair -alias mytest \
                    -keyalg RSA \
                    -keypass mypass \
                    -keystore mytest.jks \
                    -storepass mypass

该命令将生成一个名为 mytest.jks 的文件，其中包含我们的密钥 - 公钥和私钥。还要确保 keypass 和 storepass 是一样的。

# 6.2、导出公钥

接下来，我们需要从生成的 JKS 中导出我们的公钥，我们可以使用下面的命令来实现：

keytool -list -rfc --keystore mytest.jks | openssl x509 -inform pem -pubkey

示例回应如下所示：

我们只取得我们的公钥，并将其复制到我们的资源服务器 src / main / resources / public.txt 中

# 6.3、Maven 配置

接下来，我们不希望 JMS 文件被 maven 过滤进程拾取 - 所以我们将确保将其排除在 pom.xml 中：

<build>
    <resources>
        <resource>
            <directory>src/main/resources</directory>
            <filtering>true</filtering>
            <excludes>
                <exclude>*.jks</exclude>
            </excludes>
        </resource>
    </resources>
</build>

如果我们使用 Spring Boot，我们需要确保我们的 JKS 文件通过 Spring Boot Maven 插件添加到应用程序 classpath - addResources：

<build>
    <plugins>
        <plugin>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-maven-plugin</artifactId>
            <configuration>
                <addResources>true</addResources>
            </configuration>
        </plugin>
    </plugins>
</build>

# 6.4、授权服务器

现在，我们将配置 JwtAccessTokenConverter 使用 mytest.jks 中的 KeyPair，如下所示：

@Bean
public JwtAccessTokenConverter accessTokenConverter() {
    JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
    KeyStoreKeyFactory keyStoreKeyFactory =
      new KeyStoreKeyFactory(new ClassPathResource("mytest.jks"), "mypass".toCharArray());
    converter.setKeyPair(keyStoreKeyFactory.getKeyPair("mytest"));
    return converter;
}

# 6.5、资源服务器

最后，我们需要配置我们的资源服务器使用公钥 - 如下所示：

@Bean
public JwtAccessTokenConverter accessTokenConverter() {
    JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
    Resource resource = new ClassPathResource("public.txt");
    String publicKey = null;
    try {
        publicKey = IOUtils.toString(resource.getInputStream());
    } catch (final IOException e) {
        throw new RuntimeException(e);
    }
    converter.setVerifierKey(publicKey);
    return converter;
}

# 7、结论

重写 tokenStore() 方法,利用不对称加密对令牌进行加密.

缺点: 无法失效 access_token

← Spring Security OAuth2 密码模式 Spring Security OAuth2 redis →