OAuth2.0基础认识可以看这里
spring 全家桶已经实现了 OAuth2.0 的全部功能（spring-cloud-starter-security、spring-security-oauth2-autoconfigure），我们只要引用对应库就可以了。
表结构
无论哪种认证方式，总要把数据存储起来（无论是在缓存还是 DB），OAuth2.0 依赖的数据一般是存放在 DB 中的，全部表结构可以参考这里
其中不能省的表就这一个：oauth_client_details（客户端信息配置，当然了表名可以自己随便改）
其它用户表、角色权限表、token 存储表等等都可以用我们自己的业务表来做，token 可以存放在 redis 中。
数据结构
用户信息
org.springframework.security.core.userdetails.User
private String password;private final String username;private final Set authorities;private final boolean accountNonExpired;private final boolean accountNonLocked;private final boolean credentialsNonExpired;private final boolean enabled; 这个类可以自定义，继承 User 就好了，一般都是用项目中的用户类。
权限信息
可以是菜单权限，也可以数据权限，这个完全根据业务来自定义。
比如使用业务系统的角色 + 权限关系表，就可以知道当前用户能操作哪些菜单 / 数据（Set authorities）。
加密方式（针对 password 模式）
认证过程中提交的密码不能是明文，如果不用默认的加密方式，可以自定义（必须与数据库中存储密码的加密方式匹配）。
@Beanpublic PasswordEncoder passwordEncoder() { return PasswordEncoderFactories.createDelegatingPasswordEncoder();}自定义授权服务器配置
@Configuration@AllArgsConstructor@EnableAuthorizationServerpublic class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {private final DataSource dataSource;private final UserDetailsService userDetailsService;private final AuthenticationManager authenticationManager; // 用户信息和token存放在redis中private final RedisConnectionFactory redisConnectionFactory;@Override@SneakyThrowspublic void configure(ClientDetailsServiceConfigurer clients) { // 自定义用户查询实现类MyClientDetailsService clientDetailsService = new MyClientDetailsService(dataSource); // 自定义查询oauth_client_details数据的sql（根据client_id查询）clientDetailsService.setSelectClientDetailsSql("select * from ..."); // 自定义查询所有oauth_client_details数据的sqlclientDetailsService.setFindClientDetailsSql("select * from ...");clients.withClientDetails(clientDetailsService);}@Overridepublic void configure(AuthorizationServerSecurityConfigurer oauthServer) {oauthServer // 让 /oauth/token 支持 client_id 以及 client_secret 作登录认证.allowFormAuthenticationForClients() // 允许可访问 /oauth/check_token 对应的api.checkTokenAccess("permitAll()");}@Overridepublic void configure(AuthorizationServerEndpointsConfigurer endpoints) {endpoints // oauth请求使用get或put方式.allowedTokenEndpointRequestMethods(HttpMethod.GET, HttpMethod.POST) // token存储方式.tokenStore(tokenStore()) // 自定义token中附加信息的内容.tokenEnhancer(tokenEnhancer()) // 获取用户信息的实现类.userDetailsService(userDetailsService).authenticationManager(authenticationManager) // 是否重复使用refreshToken直到过期.reuseRefreshTokens(false) // 自定义授权确认api.pathMapping("/oauth/confirm_access", "/token/confirm_access") // 自定义异常处理类.exceptionTranslator(new MyWebResponseExceptionTranslator());}@Beanpublic TokenStore tokenStore() {RedisTokenStore tokenStore = new RedisTokenStore(redisConnectionFactory);tokenStore.setPrefix("myOAuth2.0");return tokenStore;}@Beanpublic TokenEnhancer tokenEnhancer() {return (accessToken, authentication) -> {final Map additionalInfo = new HashMap<>();additionalInfo.put("addInfo", "额外信息");((DefaultOAuth2AccessToken) accessToken).setAdditionalInformation(additionalInfo);return accessToken;};}} 授权服务器正确分配了 token 后，在后续的请求过程中，资源服务器怎么从 token 上获取用户信息呢？这就需要在资源服务器中配置了。
自定义资源服务器配置
public class MyResourceServerConfigurerAdapter extends ResourceServerConfigurerAdapter { // 自定义异常处理类@Autowiredprotected ResourceAuthExceptionEntryPoint resourceAuthExceptionEntryPoint; // 验证token是否有效，默认即可，无需自定义@Autowiredprotected RemoteTokenServices remoteTokenServices; // 自定义拒绝授权处理器@Autowiredprivate AccessDeniedHandler myAccessDeniedHandler; // 允许匿名访问的资源，支持ant通配符@Autowiredprivate List permitUrls; // rest请求模板，默认即可@Autowiredprivate RestTemplate restTemplate;@Override@SneakyThrowspublic void configure(HttpSecurity httpSecurity) {ExpressionUrlAuthorizationConfigurer.ExpressionInterceptUrlRegistry registry = httpSecurity.authorizeRequests(); // 可匿名访问资源permitUrls.forEach(url -> registry.antMatchers(url).permitAll()); // 所有页面需要授权registry.anyRequest().authenticated().and().csrf().disable();}@Overridepublic void configure(ResourceServerSecurityConfigurer resources) {DefaultAccessTokenConverter accessTokenConverter = new DefaultAccessTokenConverter(); // 关键位置，根据check_token返回的结果，转换为资源服务器中可用的用户信息UserAuthenticationConverter userTokenConverter = new MyUserAuthenticationConverter();accessTokenConverter.setUserTokenConverter(userTokenConverter);remoteTokenServices.setRestTemplate(restTemplate);remoteTokenServices.setAccessTokenConverter(accessTokenConverter);resources.authenticationEntryPoint(resourceAuthExceptionEntryPoint).accessDeniedHandler(myAccessDeniedHandler).tokenServices(remoteTokenServices);}} 这里的 UserAuthenticationConverter 会根据 check_token 返回的内容来生成一个 org.springframework.security.core.userdetails.User 并把它放在 org.springframework.security.authentication.UsernamePasswordAuthenticationToken 中，这样后面的处理逻辑都能从权限管理器中获取到用户信息了。
那 check_token 是怎么获取的 token 信息呢？
之前我们不是配置了 token 在 redis 中存储么？
@Beanpublic TokenStore tokenStore() { RedisTokenStore tokenStore = new RedisTokenStore(redisConnectionFactory); tokenStore.setPrefix("myOAuth2.0"); return tokenStore;}在 RedisTokenStore 中你会看到是如何反序列化出来的
@Overridepublic OAuth2Authentication readAuthenticationForRefreshToken(OAuth2RefreshToken token) { return readAuthenticationForRefreshToken(token.getValue());}public OAuth2Authentication readAuthenticationForRefreshToken(String token) { RedisConnection conn = getConnection(); try { byte[] bytes = conn.get(serializeKey(REFRESH_AUTH + token)); OAuth2Authentication auth = deserializeAuthentication(bytes); return auth; } finally { conn.close(); }}redis 中存储的内容如下，其实就是一个序列化的 org.springframework.security.oauth2.provider.OAuth2Authentication 对象
到这里，Oauth2.0 的配置就很清楚了吧，后面我们再把整个请求过程串起来，就更直观了！
本文来自投稿，不代表本人立场，如若转载，请注明出处：http://www.souzhinan.com/kj/289174.html