1. 添加依賴
授權服務是基于Spring Security的，因此需要在項目中引入兩個依賴：

<dependency><groupId>org.springframework.cloud</groupId><artifactId>spring-cloud-starter-security</artifactId> </dependency><dependency><groupId>org.springframework.cloud</groupId><artifactId>spring-cloud-starter-oauth2</artifactId></dependency>

前者為 Security，后者為Security的OAuth2擴展。

2. 添加注解和配置

在啟動類中添加@EnableAuthorizationServer注解：

@SpringBootApplication @EnableAuthorizationServer public class AlanOAuthApplication {public static void main(String[] args) {SpringApplication.run(AlanOAuthApplication.class, args);} }

完成這些我們的授權服務最基本的骨架就已經搭建完成了。
但是要想跑通整個流程，我們必須分配 client_id, client_secret才行。
Spring Security OAuth2的配置方法是編寫@Configuration類繼承AuthorizationServerConfigurerAdapter，
然后重寫void configure(ClientDetailsServiceConfigurer clients)方法，如：

@Override public void configure(ClientDetailsServiceConfigurer clients) throws Exception {clients.inMemory() // 使用in-memory存儲.withClient("client") // client_id.secret("secret") // client_secret.authorizedGrantTypes("authorization_code") // 該client允許的授權類型.scopes("app"); // 允許的授權范圍 }

3. 授權流程
訪問授權頁面：

localhost:8080/oauth/authorize?client_id=client&response_type=code&redirect_uri=http://www.baidu.com

此時瀏覽器會讓你輸入用戶名密碼，這是因為 Spring Security 在默認情況下會對所有URL添加Basic Auth認證。
默認的用戶名為user, 密碼是隨機生成的，在控制臺日志中可以看到。

畫風雖然很簡陋，但是基本功能都具備了。點擊Authorize后，瀏覽器就會重定向到百度，并帶上code參數：

?

拿到code以后，就可以調用

POST/GET http://client:secret@localhost:8080/oauth/token

來換取access_token了：

curl -X POST -H "Content-Type: application/x-www-form-urlencoded" -d 'grant_type=authorization_code&code=Li4NZo&redirect_uri=http://www.baidu.com' "http://client:secret@localhost:8080/oauth/token"

注意，URL中的client為上文中通過ClientDetailsServiceConfigurer類指定的clientId。
由于authorization_code的授權方式不需要 client_secret, 因此secret可以填寫任意值

返回如下：

{"access_token": "32a1ca28-bc7a-4147-88a1-c95abcc30556", // 令牌"token_type": "bearer","expires_in": 2591999,"scope": "app" }

到此我們最最基本的授權服務就搭建完成了。然而，這僅僅是個demo，如果要在生產環境中使用，還需要做更多的工作。

?

4. 使用MySQL存儲access_token和client信息

在上面的例子中，所有的token信息都是保存在內存中的，這顯然無法在生產環境中使用(進程結束后所有token丟失, 用戶需要重新授權)，因此我們需要將這些信息進行持久化操作。 把授權服務器中的數據存儲到數據庫中并不難，因為 Spring Cloud Security OAuth 已經為我們設計好了一套Schema和對應的DAO對象。但在使用之前，我們需要先對相關的類有一定的了解。

4.1 相關接口

Spring Cloud Security OAuth2通過DefaultTokenServices類來完成token生成、過期等 OAuth2 標準規定的業務邏輯，而DefaultTokenServices又是通過TokenStore接口完成對生成數據的持久化。在上面的demo中，TokenStore的默認實現為InMemoryTokenStore，即內存存儲。 對于Client信息，ClientDetailsService接口負責從存儲倉庫中讀取數據，在上面的demo中默認使用的也是InMemoryClientDetialsService實現類。說到這里就能看出，要想使用數據庫存儲，只需要提供這些接口的實現類即可。慶幸的是，框架已經為我們寫好JDBC實現了，即JdbcTokenStore和JdbcClientDetailsService。

4.2 建表

要想使用這些JDBC實現，首先要建表。框架為我們提前設計好了schema, 在github上：https://github.com/spring-projects/spring-security-oauth/blob/master/spring-security-oauth2/src/test/resources/schema.sql

在使用這套表結構之前要注意的是，對于MySQL來說，默認建表語句中主鍵是varchar(255)類型，在mysql中執行會報錯，原因是mysql對varchar主鍵長度有限制。所以這里改成128即可。其次，語句中會有某些字段為LONGVARBINARY類型，它對應mysql的blob類型，也需要修改一下。

4.3 配置

數據庫建好后，下一步就是配置框架使用JDBC實現。方法還是編寫@Configuration類繼承AuthorizationServerConfigurerAdapter：

@Autowiredprivate AuthenticationManager authenticationManager;@Autowiredprivate DataSource dataSource;@Bean // 聲明TokenStore實現public TokenStore tokenStore() {return new JdbcTokenStore(dataSource);}@Bean // 聲明 ClientDetails實現public ClientDetailsService clientDetails() {return new JdbcClientDetailsService(dataSource);}@Override // 配置框架應用上述實現public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {endpoints.authenticationManager(authenticationManager);endpoints.tokenStore(tokenStore());// 配置TokenServices參數DefaultTokenServices tokenServices = new DefaultTokenServices();tokenServices.setTokenStore(endpoints.getTokenStore());tokenServices.setSupportRefreshToken(false);tokenServices.setClientDetailsService(endpoints.getClientDetailsService());tokenServices.setTokenEnhancer(endpoints.getTokenEnhancer());tokenServices.setAccessTokenValiditySeconds( (int) TimeUnit.DAYS.toSeconds(30)); // 30天 endpoints.tokenServices(tokenServices);}

完成這些后，框架就會將中間產生的數據寫到mysql中了。oauth_client_details是client表，可以直接在該表中添加記錄來添加client:

4.4 需要注意的地方

這里不得不說 Spring 設計有一個奇葩地的方。注意看oauth_access_token表是存放訪問令牌的，但是并沒有直接在字段中存放token。Spring 使用OAuth2AccessToken來抽象與令牌有關的所有屬性，在寫入到數據庫時，Spring將該對象通過JDK自帶的序列化機制序列成字節 直接保存到了該表的token字段中。也就是說，如果只看數據表你是看不出access_token的值是多少，過期時間等信息的。這就給資源服務器的實現帶來了麻煩。我們的資源提供方并沒有使用Spring Security，也不想引入 Spring Security 的任何依賴，這時候就只能將 DefaultOAuth2AccessToken的源碼copy到資源提供方的項目中，然后讀取token字段并反序列化還原對象來獲取token信息。但是如果這樣做還會遇到反序列化兼容性的問題，具體解決方法參考我另一篇博文: http://blog.csdn.net/neosmith/article/details/52539614

5. 總結

至此一個能在生產環境下使用的授權服務就搭建好了。其實我們在實際使用時應該適當定制JdbcTokenStore或ClientDetailsService來實適應業務需要，甚至可以直接從0開始實現接口，完全不用框架提供的實現。另外，Spring 直接將DefaultOAuth2AccessToken序列化成字節保存到數據庫中的設計，我認為是非常不合理的。或許設計者的初衷是保密access_token，但是通過加密的方法也可以實現，完全不應該直接扔字節。不過通過定制TokenStore接口，我們可以使用自己的表結構而不拘泥于默認實現。

6. 個人看法

Spring的OAuth2實現有些過于復雜了，oauth2本身只是個非常簡單的協議，完全可以自己在SpringMVC的基礎上自由實現，沒有難度，也不復雜。我想很多人去用框架應該是擔心oauth2協議復雜實現起來健壯性不足，其實是多慮了。如果是開發我個人的項目，我肯定會不使用任何框架。

github地址： https://github.com/wanghongfei/spring-security-oauth2-example

?

項目使用的是MySql存儲, 需要先創建以下表結構:

CREATE SCHEMA IF NOT EXISTS `alan-oauth` DEFAULT CHARACTER SET utf8 ; USE `alan-oauth` ;-- ----------------------------------------------------- -- Table `alan-oauth`.`clientdetails` -- ----------------------------------------------------- CREATE TABLE IF NOT EXISTS `alan-oauth`.`clientdetails` (`appId` VARCHAR(128) NOT NULL,`resourceIds` VARCHAR(256) NULL DEFAULT NULL,`appSecret` VARCHAR(256) NULL DEFAULT NULL,`scope` VARCHAR(256) NULL DEFAULT NULL,`grantTypes` VARCHAR(256) NULL DEFAULT NULL,`redirectUrl` VARCHAR(256) NULL DEFAULT NULL,`authorities` VARCHAR(256) NULL DEFAULT NULL,`access_token_validity` INT(11) NULL DEFAULT NULL,`refresh_token_validity` INT(11) NULL DEFAULT NULL,`additionalInformation` VARCHAR(4096) NULL DEFAULT NULL,`autoApproveScopes` VARCHAR(256) NULL DEFAULT NULL,PRIMARY KEY (`appId`)) ENGINE = InnoDB DEFAULT CHARACTER SET = utf8;-- ----------------------------------------------------- -- Table `alan-oauth`.`oauth_access_token` -- ----------------------------------------------------- CREATE TABLE IF NOT EXISTS `alan-oauth`.`oauth_access_token` (`token_id` VARCHAR(256) NULL DEFAULT NULL,`token` BLOB NULL DEFAULT NULL,`authentication_id` VARCHAR(128) NOT NULL,`user_name` VARCHAR(256) NULL DEFAULT NULL,`client_id` VARCHAR(256) NULL DEFAULT NULL,`authentication` BLOB NULL DEFAULT NULL,`refresh_token` VARCHAR(256) NULL DEFAULT NULL,PRIMARY KEY (`authentication_id`)) ENGINE = InnoDB DEFAULT CHARACTER SET = utf8;-- ----------------------------------------------------- -- Table `alan-oauth`.`oauth_approvals` -- ----------------------------------------------------- CREATE TABLE IF NOT EXISTS `alan-oauth`.`oauth_approvals` (`userId` VARCHAR(256) NULL DEFAULT NULL,`clientId` VARCHAR(256) NULL DEFAULT NULL,`scope` VARCHAR(256) NULL DEFAULT NULL,`status` VARCHAR(10) NULL DEFAULT NULL,`expiresAt` DATETIME NULL DEFAULT NULL,`lastModifiedAt` DATETIME NULL DEFAULT NULL) ENGINE = InnoDB DEFAULT CHARACTER SET = utf8;-- ----------------------------------------------------- -- Table `alan-oauth`.`oauth_client_details` -- ----------------------------------------------------- CREATE TABLE IF NOT EXISTS `alan-oauth`.`oauth_client_details` (`client_id` VARCHAR(128) NOT NULL,`resource_ids` VARCHAR(256) NULL DEFAULT NULL,`client_secret` VARCHAR(256) NULL DEFAULT NULL,`scope` VARCHAR(256) NULL DEFAULT NULL,`authorized_grant_types` VARCHAR(256) NULL DEFAULT NULL,`web_server_redirect_uri` VARCHAR(256) NULL DEFAULT NULL,`authorities` VARCHAR(256) NULL DEFAULT NULL,`access_token_validity` INT(11) NULL DEFAULT NULL,`refresh_token_validity` INT(11) NULL DEFAULT NULL,`additional_information` VARCHAR(4096) NULL DEFAULT NULL,`autoapprove` VARCHAR(256) NULL DEFAULT NULL,PRIMARY KEY (`client_id`)) ENGINE = InnoDB DEFAULT CHARACTER SET = utf8;-- ----------------------------------------------------- -- Table `alan-oauth`.`oauth_client_token` -- ----------------------------------------------------- CREATE TABLE IF NOT EXISTS `alan-oauth`.`oauth_client_token` (`token_id` VARCHAR(256) NULL DEFAULT NULL,`token` BLOB NULL DEFAULT NULL,`authentication_id` VARCHAR(128) NOT NULL,`user_name` VARCHAR(256) NULL DEFAULT NULL,`client_id` VARCHAR(256) NULL DEFAULT NULL,PRIMARY KEY (`authentication_id`)) ENGINE = InnoDB DEFAULT CHARACTER SET = utf8;-- ----------------------------------------------------- -- Table `alan-oauth`.`oauth_code` -- ----------------------------------------------------- CREATE TABLE IF NOT EXISTS `alan-oauth`.`oauth_code` (`code` VARCHAR(256) NULL DEFAULT NULL,`authentication` BLOB NULL DEFAULT NULL) ENGINE = InnoDB DEFAULT CHARACTER SET = utf8;-- ----------------------------------------------------- -- Table `alan-oauth`.`oauth_refresh_token` -- ----------------------------------------------------- CREATE TABLE IF NOT EXISTS `alan-oauth`.`oauth_refresh_token` (`token_id` VARCHAR(256) NULL DEFAULT NULL,`token` BLOB NULL DEFAULT NULL,`authentication` BLOB NULL DEFAULT NULL) ENGINE = InnoDB DEFAULT CHARACTER SET = utf8;

?

然后在oauth_client_details表中插入記錄:

# client_id, resource_ids, client_secret, scope, authorized_grant_types, web_server_redirect_uri, authorities, access_token_validity, refresh_token_validity, additional_information, autoapprove 'client', NULL, 'secret', 'app', 'authorization_code', 'http://www.baidu.com', NULL, NULL, NULL, NULL, NULL

?

這時就可以訪問授權頁面了:

localhost:8080/oauth/authorize?client_id=client&response_type=code&redirect_uri=http://www.baidu.com

訪問時Spring讓你登陸,隨便輸入一個用戶名密碼即可。?注意, 如果每次登陸時輸入的用戶名不一樣,那么Spring Security會認為是不同的用戶,因此訪問/token/authorize會再次顯示授權頁面。如果用戶名一致, 則只需要授權一次

數據庫連接信息在application.properties中配置。

Spring Cloud Security OAuth2 是 Spring 對 OAuth2 的開源實現，優點是能與Spring Cloud技術棧無縫集成，如果全部使用默認配置，開發者只需要添加注解就能完成 OAuth2 授權服務的搭建。

https://github.com/wanghongfei/spring-security-oauth2-example

總結

以上是生活随笔為你收集整理的Spring Security OAuth2 Demo -- good的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。