正文
Spring Security构建Rest服务-1205-Spring Security OAuth开发APP认证框架之Token处理
提示：扫一扫查出行【扫一扫了解最新限行尾号】
复制提示
token处理之二使用JWT替换默认的token
JWT(Json Web Token) 特点：
1，自包含：jwt token包含有意义的信息
spring security oauth默认生成的token是uuid，是无意义的，本身并不包含任何信息。这个token所包含的信息，如果用redis存储token ，会在redis里存储这些信息（数据库也一样）：
这样当用这个token去访问接口的时候，需要根据这个token 从redis中取出来存储的相关的信息，才能知道这个token所包含的信息。这中存储策略的特点是，如果redis或数据库服务挂了，这个token 就失效了，因为这个token本身是不包含信息的。
而JWT自包含的意思就是，JWT令牌本身是有信息的，拿到令牌后，解析令牌就能拿到包含的信息，不用去存储里取。
2，密签
发的令牌根据指定的秘钥签名（防止信息被篡改，不是加密）
3，可扩展
所包含的信息可以扩展
要将uuid换成JWT，需要做两件事，使用JWT ，有两个增强器：
1，第一个叫JwtAccessTokenConverter，作用是添加JWT签名，将uuid的token转为jwt，用秘钥签名
2，第二个叫 TokenEnhancer ，作用是往jwt里添加自定义的信息。由于默认生成uuid token的方法是private，所以通过ImoocJwtTokenEnhancer 往jwt里添加一些自定义的信息
最后在认证服务器ImoocAuthenticationServerConfig里，拿到增强器链TokenEnhancerChain，判断系统里这两个增强器是不是空，非空的话把这两个增强器连起来，加到TokenEndpoint 。
实现：
1，配置JwtAccessTokenConverter，新建一个配置类，先配置TokenStore 为JwtTokenStore ，然后JwtTokenStore 需要JwtAccessTokenConverter 这个转换器，在转换器里设置签名。
/**
* token存储到redis,默认是在内存不行
* ClassName: TokenStoreConfig
* @Description: token存储策略
* @author lihaoyang
* @date 2018年3月15日
*/
@Configuration
public class TokenStoreConfig { @Autowired
private RedisConnectionFactory redisConnectionFactory; /**
* 配置redis存储token
* @Description: 配置文件有 imooc.security.oauth2.storeType = redis 时才生效
* @param @return
* @return TokenStore
* @throws
* @author lihaoyang
* @date 2018年3月16日
*/
@Bean
@ConditionalOnProperty(prefix = "imooc.security.oauth2" , name = "storeType" , havingValue = "redis")
public TokenStore redisTokenStore(){
return new RedisTokenStore(redisConnectionFactory);
} /**
* JWT配置
* ClassName: JwtTokenConfig
* @Description:\
* @ConditionalOnProperty是说，有前缀imooc.security.oauth2.storeType = jwt 的配置时，这个类里的配置才生效
* matchIfMissing =true 意思是当配置文件里不配置imooc.security.oauth2.storeType = jwt时，配置是生效的
* @author lihaoyang
* @date 2018年3月16日
*/
@Configuration
@ConditionalOnProperty(prefix = "imooc.security.oauth2" , name = "storeType" , havingValue = "jwt" , matchIfMissing = true)
public static class JwtTokenConfig{ @Autowired
private SecurityProperties securityProperties; @Bean
public TokenStore jwtTokenStore(){
return new JwtTokenStore(jwtAccessTokenConverter());
} @Bean
public JwtAccessTokenConverter jwtAccessTokenConverter(){
JwtAccessTokenConverter jwtAccessTokenConverter = new JwtAccessTokenConverter();
jwtAccessTokenConverter.setSigningKey(securityProperties.getOauth2().getJetSigningKey());//jwt签名
return jwtAccessTokenConverter;
}
} }
2，配置增强器 ImoocJwtTokenEnhancer往jwt增加自定义信息：
/**
* jwt增强器
* ClassName: ImoocJwtTokenEnhancer
* @Description:
* 往jwt的 token增加自己的信息
* spring默认生成token的方法在DefaultTokenService里，是private，生成的是uuid，没办法重写，只能是增强器把uuid转换成jwt，添加一些信息
* @author lihaoyang
* @date 2018年3月16日
*/
public class ImoocJwtTokenEnhancer implements TokenEnhancer { @Override
public OAuth2AccessToken enhance(OAuth2AccessToken accessToken, OAuth2Authentication authentication) {
//往jwt添加的自定义信息
Map<String , Object> info = new HashMap<>();
info.put("company", "imooc");
info.put("product_code", "100");
((DefaultOAuth2AccessToken)accessToken).setAdditionalInformation(info);
return accessToken;
} },
3，在认证服务器ImoocAuthenticationServerConfig判断是否存在2个增强器，并添加到TokenEndpoint （ /oauth/token处理的入口点）
/**
* 认证服务器
* ClassName: ImoocAuthenticationServerConfig
* @Description:
* extends AuthorizationServerConfigurerAdapter 自定义token生成
* @author lihaoyang
* @date 2018年3月12日
*/
@Configuration
@EnableAuthorizationServer //这个注解就是实现了一个认证服务器
public class ImoocAuthenticationServerConfig extends AuthorizationServerConfigurerAdapter{ /*
* 不继承AuthorizationServerConfigurerAdapter，这些bean会自己找，配了，就要自己实现
*/ @Autowired
private AuthenticationManager authenticationManager; @Autowired
private UserDetailsService userDetailsService; //配置文件
@Autowired
private SecurityProperties securityProperties; //token存在redis，默认是在内存
@Autowired
private TokenStore tokenStore; /**
* jwt需要的两个增强器之一：将uuid转换为jwt
* 有jwt配置时才生效
*/
@Autowired(required = false)
private JwtAccessTokenConverter jwtAccessTokenConverter; /**
* jwt需要的两个增强器之二：往jwt添加自定义信息
*/
@Autowired(required = false)
private TokenEnhancer jwtTokenEnhancer; /**
* 配置TokenEndpoint 是 /oauth/token处理的入口点
*/
@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
endpoints.tokenStore(tokenStore)
.authenticationManager(authenticationManager)
.userDetailsService(userDetailsService); /**
* 使用JWT ，有两个增强器：
* 1，使用JwtAccessTokenConverter将uuid的token转为jwt，用秘钥签名
* 2，由于默认生成uuid token的方法是private，所以通过ImoocJwtTokenEnhancer 往jwt里添加一些自定义的信息
*
* 在这里拿到增强器的链，把这两个增强器连起来
*/
if(jwtAccessTokenConverter != null && jwtTokenEnhancer != null){
//拿到增强器链
TokenEnhancerChain enhancerChain = new TokenEnhancerChain(); List<TokenEnhancer> enhancers = new ArrayList<TokenEnhancer>();
enhancers.add(jwtAccessTokenConverter);
enhancers.add(jwtTokenEnhancer); enhancerChain.setTokenEnhancers(enhancers); endpoints.tokenEnhancer(enhancerChain)
.accessTokenConverter(jwtAccessTokenConverter);
}
} /**
* 功能：认证服务器会给哪些第三方应用发令牌
* 覆盖了该方法，application.properties里配置的
* security.oauth2.client.clientId = imooc
* security.oauth2.client.clientSecret = imoocsecret
* 就失效了
*/
@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
//1，写死
// clients.jdbc(dataSource)就是qq场景用的，有第三方公司注册过来，目前场景是给自己的应用提供接口，所以用内存就行
// clients.inMemory()
// //~========================== 在这里配置和写配置文件一样================
// .withClient("imooc") //第三方应用用户名
// .secret("imoocsecret") //密码
// .accessTokenValiditySeconds(7200)//token有效期
// .authorizedGrantTypes("password","refresh_token") //支持的授权模式
// .scopes("all","read","write") //相当于oauth的权限，这里配置了，请求里的必须和这里匹配
// //~=======如果有多个client，这里继续配置
// .and()
// .withClient("xxxxx"); //2，读取配置文件
InMemoryClientDetailsServiceBuilder builder = clients.inMemory();
//判断是否配置了客户端
if(ArrayUtils.isNotEmpty(securityProperties.getOauth2().getClients())){
for (OAuth2ClientProperties config : securityProperties.getOauth2().getClients()) {
builder.withClient(config.getClientId())
.secret(config.getClientSecret())
.accessTokenValiditySeconds(config.getAccessTokenValiditySeconds())
.authorizedGrantTypes("password","refresh_token") //这些也可以配置也可以写死，看心情
.scopes("all","read","write");
}
} }
}
重新获取token：
{
"access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE1MjExNjYwNDksInVzZXJfbmFtZSI6IjEzODEyMzQ5ODc2IiwiYXV0aG9yaXRpZXMiOlsiYWRtaW4iLCJST0xFX1VTRVIiXSwianRpIjoiYzRkYWQzYTMtM2I0Ni00N2FlLTgzYzAtYzkyNjg2MzU5ZjI0IiwiY2xpZW50X2lkIjoiaW1vb2MiLCJzY29wZSI6WyJhbGwiLCJyZWFkIiwid3JpdGUiXX0.R6-l64ogfHGRACNLiz3_-d-KT8AnN0jmSYzplpkSy-0",
"token_type": "bearer",
"refresh_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX25hbWUiOiIxMzgxMjM0OTg3NiIsInNjb3BlIjpbImFsbCIsInJlYWQiLCJ3cml0ZSJdLCJhdGkiOiJjNGRhZDNhMy0zYjQ2LTQ3YWUtODNjMC1jOTI2ODYzNTlmMjQiLCJleHAiOjE1MjM3NTc5ODksImF1dGhvcml0aWVzIjpbImFkbWluIiwiUk9MRV9VU0VSIl0sImp0aSI6ImQ3N2Y3ZjVkLTE1OTctNGI5My1hNzU5LWUyYWVlYTBjM2UxMSIsImNsaWVudF9pZCI6Imltb29jIn0.ZKMUKmprgtFbsWBAFAI_BKsBVQ9RUGdbhViG3OyyIJU",
"expires_in": 59,
"scope": "all read write",
"jti": "c4dad3a3-3b46-47ae-83c0-c92686359f24"
}
此时redis中就没有token信息了
访问https://www.jsonwebtoken.io/ 可以解析jwt
至此已完成JWT配置，但是如果想在controller 获取到往JWT里自定义的信息，还需要添加一些配置
在demo项目（应用的项目）添加maven依赖：
<!-- 解析jwt -->
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.7.0</version>
</dependency>
在controller里：
@GetMapping("/me2")
public Object getCurrentUser2(Authentication user,HttpServletRequest request) throws Exception{
String header = request.getHeader("Authorization");
String token = StringUtils.substringAfter(header, "bearer ");
Claims claims = Jwts.parser().setSigningKey(securityProperties.getOauth2().getJwtSigningKey().getBytes("UTF-8")).parseClaimsJws(token).getBody();
String company = (String) claims.get("company");
String productId = (String) claims.get("product_id");
System.err.println("token decode ------>company："+company+",productId:"+productId);
return user;
}
但是我一直打印不了，不知道为什么？谁知道告诉我
Token刷新：
token是有有效期的，当token过期后，响应信息会提示token过期，又得重新登录才能访问接口， 有个token的刷新机制，我们请求 token的时候，会返回一个 refresh_token ，这个就是在token过期后，可以拿着它去换取一个新的token，这个过程应该是在用户无感知的情况下进行的。实验表明，对于没有过期的token也可以刷新，会返回一个新的token，但是之前的还可以用（这样做没有什么意义）
刷新token访问的url还是 http://127.0.0.1:8080/oauth/token
需要的参数
具体代码放在了github：https://github.com/lhy1234/spring-security
