高级配置

HttpSecurity.oauth2Login() 提供了许多配置选项，用于自定义 OAuth 2.0 登录。主要的配置选项按其协议端点对应部分分组。

例如，oauth2Login().authorizationEndpoint() 允许配置 *授权端点*，而 oauth2Login().tokenEndpoint() 允许配置 *令牌端点*。

以下代码显示了一个示例

高级 OAuth2 登录配置

Java
Kotlin

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.oauth2Login(oauth2 -> oauth2
			    .authorizationEndpoint(authorization -> authorization
			            ...
			    )
			    .redirectionEndpoint(redirection -> redirection
			            ...
			    )
			    .tokenEndpoint(token -> token
			            ...
			    )
			    .userInfoEndpoint(userInfo -> userInfo
			            ...
			    )
			);
		return http.build();
	}
}

@Configuration
@EnableWebSecurity
class OAuth2LoginSecurityConfig {

    @Bean
    open fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            oauth2Login {
                authorizationEndpoint {
                    ...
                }
                redirectionEndpoint {
                    ...
                }
                tokenEndpoint {
                    ...
                }
                userInfoEndpoint {
                    ...
                }
            }
        }
        return http.build()
    }
}

oauth2Login() DSL 的主要目标是与规范中定义的命名紧密对齐。

OAuth 2.0 授权框架将协议端点定义如下：

授权流程使用两个授权服务器端点（HTTP 资源）：

授权端点：客户端用于通过用户代理重定向从资源所有者获取授权。
令牌端点：客户端用于交换授权授权以获取访问令牌，通常使用客户端身份验证。

授权流程还使用一个客户端端点：

重定向端点：授权服务器用于通过资源所有者用户代理将包含授权凭据的响应返回给客户端。

OpenID Connect Core 1.0 规范将用户信息端点定义如下：

用户信息端点是一个 OAuth 2.0 受保护的资源，它返回关于已认证最终用户的声明。为了获取关于最终用户的请求声明，客户端使用通过 OpenID Connect 身份验证获得的访问令牌向用户信息端点发出请求。这些声明通常由一个 JSON 对象表示，该对象包含声明的名称-值对集合。

以下代码显示了 oauth2Login() DSL 可用的完整配置选项：

OAuth2 登录配置选项

Java
Kotlin

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.oauth2Login(oauth2 -> oauth2
			    .clientRegistrationRepository(this.clientRegistrationRepository())
			    .authorizedClientRepository(this.authorizedClientRepository())
			    .authorizedClientService(this.authorizedClientService())
			    .loginPage("/login")
			    .authorizationEndpoint(authorization -> authorization
			        .baseUri(this.authorizationRequestBaseUri())
			        .authorizationRequestRepository(this.authorizationRequestRepository())
			        .authorizationRequestResolver(this.authorizationRequestResolver())
			    )
			    .redirectionEndpoint(redirection -> redirection
			        .baseUri(this.authorizationResponseBaseUri())
			    )
			    .tokenEndpoint(token -> token
			        .accessTokenResponseClient(this.accessTokenResponseClient())
			    )
			    .userInfoEndpoint(userInfo -> userInfo
			        .userAuthoritiesMapper(this.userAuthoritiesMapper())
			        .userService(this.oauth2UserService())
			        .oidcUserService(this.oidcUserService())
			    )
			);
		return http.build();
	}
}

@Configuration
@EnableWebSecurity
class OAuth2LoginSecurityConfig {

    @Bean
    open fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            oauth2Login {
                clientRegistrationRepository = clientRegistrationRepository()
                authorizedClientRepository = authorizedClientRepository()
                authorizedClientService = authorizedClientService()
                loginPage = "/login"
                authorizationEndpoint {
                    baseUri = authorizationRequestBaseUri()
                    authorizationRequestRepository = authorizationRequestRepository()
                    authorizationRequestResolver = authorizationRequestResolver()
                }
                redirectionEndpoint {
                    baseUri = authorizationResponseBaseUri()
                }
                tokenEndpoint {
                    accessTokenResponseClient = accessTokenResponseClient()
                }
                userInfoEndpoint {
                    userAuthoritiesMapper = userAuthoritiesMapper()
                    userService = oauth2UserService()
                    oidcUserService = oidcUserService()
                }
            }
        }
        return http.build()
    }
}

除了 oauth2Login() DSL 之外，还支持 XML 配置。

以下代码显示了在安全命名空间中可用的完整配置选项：

OAuth2 登录 XML 配置选项

<http>
	<oauth2-login client-registration-repository-ref="clientRegistrationRepository"
				  authorized-client-repository-ref="authorizedClientRepository"
				  authorized-client-service-ref="authorizedClientService"
				  authorization-request-repository-ref="authorizationRequestRepository"
				  authorization-request-resolver-ref="authorizationRequestResolver"
				  access-token-response-client-ref="accessTokenResponseClient"
				  user-authorities-mapper-ref="userAuthoritiesMapper"
				  user-service-ref="oauth2UserService"
				  oidc-user-service-ref="oidcUserService"
				  login-processing-url="/login/oauth2/code/*"
				  login-page="/login"
				  authentication-success-handler-ref="authenticationSuccessHandler"
				  authentication-failure-handler-ref="authenticationFailureHandler"
				  jwt-decoder-factory-ref="jwtDecoderFactory"/>
</http>

以下部分将更详细地介绍每个可用的配置选项：

OAuth 2.0 登录页面
重定向端点
用户信息端点
ID 令牌签名验证
[oauth2login-advanced-oidc-logout]

默认情况下，OAuth 2.0 登录页面由DefaultLoginPageGeneratingFilter自动生成。默认登录页面显示每个已配置的 OAuth 客户端，其ClientRegistration.clientName作为链接，能够启动授权请求（或 OAuth 2.0 登录）。

为了使DefaultLoginPageGeneratingFilter显示已配置 OAuth 客户端的链接，已注册的ClientRegistrationRepository还需要实现Iterable<ClientRegistration>接口。请参考InMemoryClientRegistrationRepository。

每个 OAuth 客户端链接的目标地址默认为：

OAuth2AuthorizationRequestRedirectFilter.DEFAULT_AUTHORIZATION_REQUEST_BASE_URI + "/{registrationId}"

以下代码显示一个示例

<a href="/oauth2/authorization/google">Google</a>

要覆盖默认登录页面，请配置oauth2Login().loginPage()和（可选）oauth2Login().authorizationEndpoint().baseUri()。

以下列表显示一个示例

OAuth2 登录页面配置

Java
Kotlin
XML

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.oauth2Login(oauth2 -> oauth2
			    .loginPage("/login/oauth2")
			    ...
			    .authorizationEndpoint(authorization -> authorization
			        .baseUri("/login/oauth2/authorization")
			        ...
			    )
			);
		return http.build();
	}
}

@Configuration
@EnableWebSecurity
class OAuth2LoginSecurityConfig {

    @Bean
    open fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            oauth2Login {
                loginPage = "/login/oauth2"
                authorizationEndpoint {
                    baseUri = "/login/oauth2/authorization"
                }
            }
        }
        return http.build()
    }
}

<http>
	<oauth2-login login-page="/login/oauth2"
				  ...
    />
</http>

您需要提供一个带有@RequestMapping("/login/oauth2")的@Controller，它能够渲染自定义登录页面。

如前所述，配置oauth2Login().authorizationEndpoint().baseUri()是可选的。但是，如果您选择自定义它，请确保每个 OAuth 客户端的链接与authorizationEndpoint().baseUri()匹配。

以下代码显示一个示例

<a href="/login/oauth2/authorization/google">Google</a>

重定向端点

重定向端点用于授权服务器通过资源所有者用户代理将授权响应（包含授权凭据）返回给客户端。

OAuth 2.0 登录利用授权码授权模式。因此，授权凭据是授权码。

默认授权响应baseUri（重定向端点）是/login/oauth2/code/*，它在OAuth2LoginAuthenticationFilter.DEFAULT_FILTER_PROCESSES_URI中定义。

如果您想自定义授权响应baseUri，请按如下方式配置：

重定向端点配置

Java
Kotlin
XML

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

    @Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.oauth2Login(oauth2 -> oauth2
			    .redirectionEndpoint(redirection -> redirection
			        .baseUri("/login/oauth2/callback/*")
			        ...
			    )
			);
		return http.build();
	}
}

@Configuration
@EnableWebSecurity
class OAuth2LoginSecurityConfig {

    @Bean
    open fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            oauth2Login {
                redirectionEndpoint {
                    baseUri = "/login/oauth2/callback/*"
                }
            }
        }
        return http.build()
    }
}

<http>
	<oauth2-login login-processing-url="/login/oauth2/callback/*"
				  ...
    />
</http>

您还需要确保ClientRegistration.redirectUri与自定义授权响应baseUri匹配。

以下列表显示一个示例

Java
Kotlin

return CommonOAuth2Provider.GOOGLE.getBuilder("google")
	.clientId("google-client-id")
	.clientSecret("google-client-secret")
	.redirectUri("{baseUrl}/login/oauth2/callback/{registrationId}")
	.build();

return CommonOAuth2Provider.GOOGLE.getBuilder("google")
    .clientId("google-client-id")
    .clientSecret("google-client-secret")
    .redirectUri("{baseUrl}/login/oauth2/callback/{registrationId}")
    .build()

用户信息端点

用户信息端点包含许多配置选项，如下面的子部分所述

映射用户权限
OAuth 2.0 UserService
OpenID Connect 1.0 UserService

映射用户权限

用户成功通过 OAuth 2.0 提供商进行身份验证后，OAuth2User.getAuthorities()（或OidcUser.getAuthorities()）包含从OAuth2UserRequest.getAccessToken().getScopes()填充并以SCOPE_为前缀的一组授予的权限。这些授予的权限可以映射到一组新的GrantedAuthority实例，这些实例在完成身份验证时提供给OAuth2AuthenticationToken。

OAuth2AuthenticationToken.getAuthorities()用于授权请求，例如在hasRole('USER')或hasRole('ADMIN')中。

映射用户权限时，您可以选择以下几种方法：

使用 GrantedAuthoritiesMapper
基于委托的策略与 OAuth2UserService

使用 GrantedAuthoritiesMapper

GrantedAuthoritiesMapper接收一个授予的权限列表，其中包含一个类型为OAuth2UserAuthority和权限字符串OAUTH2_USER的特殊权限（或OidcUserAuthority和权限字符串OIDC_USER）。

提供GrantedAuthoritiesMapper的实现并按如下方式配置它：

授予权限映射器配置

Java
Kotlin
XML

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

    @Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.oauth2Login(oauth2 -> oauth2
			    .userInfoEndpoint(userInfo -> userInfo
			        .userAuthoritiesMapper(this.userAuthoritiesMapper())
			        ...
			    )
			);
		return http.build();
	}

	private GrantedAuthoritiesMapper userAuthoritiesMapper() {
		return (authorities) -> {
			Set<GrantedAuthority> mappedAuthorities = new HashSet<>();

			authorities.forEach(authority -> {
				if (OidcUserAuthority.class.isInstance(authority)) {
					OidcUserAuthority oidcUserAuthority = (OidcUserAuthority)authority;

					OidcIdToken idToken = oidcUserAuthority.getIdToken();
					OidcUserInfo userInfo = oidcUserAuthority.getUserInfo();

					// Map the claims found in idToken and/or userInfo
					// to one or more GrantedAuthority's and add it to mappedAuthorities

				} else if (OAuth2UserAuthority.class.isInstance(authority)) {
					OAuth2UserAuthority oauth2UserAuthority = (OAuth2UserAuthority)authority;

					Map<String, Object> userAttributes = oauth2UserAuthority.getAttributes();

					// Map the attributes found in userAttributes
					// to one or more GrantedAuthority's and add it to mappedAuthorities

				}
			});

			return mappedAuthorities;
		};
	}
}

@Configuration
@EnableWebSecurity
class OAuth2LoginSecurityConfig {

    @Bean
    open fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            oauth2Login {
                userInfoEndpoint {
                    userAuthoritiesMapper = userAuthoritiesMapper()
                }
            }
        }
        return http.build()
    }

    private fun userAuthoritiesMapper(): GrantedAuthoritiesMapper = GrantedAuthoritiesMapper { authorities: Collection<GrantedAuthority> ->
        val mappedAuthorities = emptySet<GrantedAuthority>()

        authorities.forEach { authority ->
            if (authority is OidcUserAuthority) {
                val idToken = authority.idToken
                val userInfo = authority.userInfo
                // Map the claims found in idToken and/or userInfo
                // to one or more GrantedAuthority's and add it to mappedAuthorities
            } else if (authority is OAuth2UserAuthority) {
                val userAttributes = authority.attributes
                // Map the attributes found in userAttributes
                // to one or more GrantedAuthority's and add it to mappedAuthorities
            }
        }

        mappedAuthorities
    }
}

<http>
	<oauth2-login user-authorities-mapper-ref="userAuthoritiesMapper"
				  ...
    />
</http>

或者，您可以注册一个GrantedAuthoritiesMapper @Bean使其自动应用于配置，如下所示：

授予权限映射器 Bean 配置

Java
Kotlin

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
		    .oauth2Login(withDefaults());
		return http.build();
	}

	@Bean
	public GrantedAuthoritiesMapper userAuthoritiesMapper() {
		...
	}
}

@Configuration
@EnableWebSecurity
class OAuth2LoginSecurityConfig {

    @Bean
    open fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            oauth2Login { }
        }
        return http.build()
    }

    @Bean
    fun userAuthoritiesMapper(): GrantedAuthoritiesMapper {
        ...
    }
}

基于委托的策略与 OAuth2UserService

与使用GrantedAuthoritiesMapper相比，此策略较为高级。但是，它也更灵活，因为它允许您访问OAuth2UserRequest和OAuth2User（使用 OAuth 2.0 UserService 时）或OidcUserRequest和OidcUser（使用 OpenID Connect 1.0 UserService 时）。

OAuth2UserRequest（和OidcUserRequest）允许您访问关联的OAuth2AccessToken，这在*委托者*需要从受保护的资源中获取权限信息才能为用户映射自定义权限的情况下非常有用。

以下示例显示如何使用 OpenID Connect 1.0 UserService 实现和配置基于委托的策略：

OAuth2UserService 配置

Java
Kotlin
XML

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.oauth2Login(oauth2 -> oauth2
			    .userInfoEndpoint(userInfo -> userInfo
			        .oidcUserService(this.oidcUserService())
			        ...
			    )
			);
		return http.build();
	}

	private OAuth2UserService<OidcUserRequest, OidcUser> oidcUserService() {
		final OidcUserService delegate = new OidcUserService();

		return (userRequest) -> {
			// Delegate to the default implementation for loading a user
			OidcUser oidcUser = delegate.loadUser(userRequest);

			OAuth2AccessToken accessToken = userRequest.getAccessToken();
			Set<GrantedAuthority> mappedAuthorities = new HashSet<>();

			// TODO
			// 1) Fetch the authority information from the protected resource using accessToken
			// 2) Map the authority information to one or more GrantedAuthority's and add it to mappedAuthorities

			// 3) Create a copy of oidcUser but use the mappedAuthorities instead
			ProviderDetails providerDetails = userRequest.getClientRegistration().getProviderDetails();
			String userNameAttributeName = providerDetails.getUserInfoEndpoint().getUserNameAttributeName();
			if (StringUtils.hasText(userNameAttributeName)) {
				oidcUser = new DefaultOidcUser(mappedAuthorities, oidcUser.getIdToken(), oidcUser.getUserInfo(), userNameAttributeName);
			} else {
				oidcUser = new DefaultOidcUser(mappedAuthorities, oidcUser.getIdToken(), oidcUser.getUserInfo());
			}

			return oidcUser;
		};
	}
}

@Configuration
@EnableWebSecurity
class OAuth2LoginSecurityConfig  {

    @Bean
    open fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            oauth2Login {
                userInfoEndpoint {
                    oidcUserService = oidcUserService()
                }
            }
        }
        return http.build()
    }

    @Bean
    fun oidcUserService(): OAuth2UserService<OidcUserRequest, OidcUser> {
        val delegate = OidcUserService()

        return OAuth2UserService { userRequest ->
            // Delegate to the default implementation for loading a user
            val oidcUser = delegate.loadUser(userRequest)

            val accessToken = userRequest.accessToken
            val mappedAuthorities = HashSet<GrantedAuthority>()

            // TODO
            // 1) Fetch the authority information from the protected resource using accessToken
            // 2) Map the authority information to one or more GrantedAuthority's and add it to mappedAuthorities
            // 3) Create a copy of oidcUser but use the mappedAuthorities instead
            val providerDetails = userRequest.getClientRegistration().getProviderDetails()
            val userNameAttributeName = providerDetails.getUserInfoEndpoint().getUserNameAttributeName()
            if (StringUtils.hasText(userNameAttributeName)) {
                DefaultOidcUser(mappedAuthorities, oidcUser.idToken, oidcUser.userInfo, userNameAttributeName)
            } else {
                DefaultOidcUser(mappedAuthorities, oidcUser.idToken, oidcUser.userInfo)
            }
        }
    }
}

<http>
	<oauth2-login oidc-user-service-ref="oidcUserService"
				  ...
    />
</http>

OAuth 2.0 UserService

DefaultOAuth2UserService是OAuth2UserService的一个实现，支持标准的 OAuth 2.0 提供商。

OAuth2UserService从用户信息端点获取最终用户（资源所有者）的用户属性（通过使用在授权流程中授予客户端的访问令牌），并以OAuth2User的形式返回AuthenticatedPrincipal。

DefaultOAuth2UserService在请求用户信息端点的用户属性时使用RestOperations实例。

如果您需要自定义用户信息请求的预处理，您可以使用自定义Converter<OAuth2UserRequest, RequestEntity<?>>向DefaultOAuth2UserService.setRequestEntityConverter()提供它。默认实现OAuth2UserRequestEntityConverter构建一个用户信息请求的RequestEntity表示形式，默认情况下在Authorization标头中设置OAuth2AccessToken。

另一方面，如果您需要自定义用户信息响应的后处理，则需要使用自定义配置的RestOperations向DefaultOAuth2UserService.setRestOperations()提供它。默认RestOperations配置如下：

RestTemplate restTemplate = new RestTemplate();
restTemplate.setErrorHandler(new OAuth2ErrorResponseErrorHandler());

OAuth2ErrorResponseErrorHandler是一个ResponseErrorHandler，可以处理 OAuth 2.0 错误（400 错误请求）。它使用OAuth2ErrorHttpMessageConverter将 OAuth 2.0 错误参数转换为OAuth2Error。

无论您自定义DefaultOAuth2UserService还是提供您自己的OAuth2UserService实现，您都需要按如下方式配置它：

Java
Kotlin

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.oauth2Login(oauth2 -> oauth2
			    .userInfoEndpoint(userInfo -> userInfo
			        .userService(this.oauth2UserService())
			        ...
			    )
			);
		return http.build();
	}

	private OAuth2UserService<OAuth2UserRequest, OAuth2User> oauth2UserService() {
		...
	}
}

@Configuration
@EnableWebSecurity
class OAuth2LoginSecurityConfig {

    @Bean
    open fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            oauth2Login {
                userInfoEndpoint {
                    userService = oauth2UserService()
                    // ...
                }
            }
        }
        return http.build()
    }

    private fun oauth2UserService(): OAuth2UserService<OAuth2UserRequest, OAuth2User> {
        // ...
    }
}

OpenID Connect 1.0 UserService

OidcUserService是OAuth2UserService的一个实现，支持 OpenID Connect 1.0 提供商。

OidcUserService在请求用户信息端点的用户属性时利用DefaultOAuth2UserService。

如果您需要自定义用户信息请求的预处理或用户信息响应的后处理，则需要使用自定义配置的DefaultOAuth2UserService向OidcUserService.setOauth2UserService()提供它。

无论您自定义OidcUserService还是为 OpenID Connect 1.0 提供商提供您自己的OAuth2UserService实现，您都需要按如下方式配置它：

Java
Kotlin

@Configuration
@EnableWebSecurity
public class OAuth2LoginSecurityConfig {

	@Bean
	public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
		http
			.oauth2Login(oauth2 -> oauth2
				.userInfoEndpoint(userInfo -> userInfo
				    .oidcUserService(this.oidcUserService())
				    ...
			    )
			);
		return http.build();
	}

	private OAuth2UserService<OidcUserRequest, OidcUser> oidcUserService() {
		...
	}
}

@Configuration
@EnableWebSecurity
class OAuth2LoginSecurityConfig {

    @Bean
    open fun filterChain(http: HttpSecurity): SecurityFilterChain {
        http {
            oauth2Login {
                userInfoEndpoint {
                    oidcUserService = oidcUserService()
                    // ...
                }
            }
        }
        return http.build()
    }

    private fun oidcUserService(): OAuth2UserService<OidcUserRequest, OidcUser> {
        // ...
    }
}

ID 令牌签名验证

OpenID Connect 1.0 身份验证引入了ID 令牌，它是一个安全令牌，包含客户端使用时授权服务器对最终用户身份验证的声明。

ID 令牌表示为JSON Web 令牌(JWT)，并且必须使用JSON Web 签名(JWS)进行签名。

OidcIdTokenDecoderFactory提供一个用于OidcIdToken签名验证的JwtDecoder。默认算法是RS256，但在客户端注册期间分配时可能有所不同。对于这些情况，您可以配置一个解析器以返回为特定客户端分配的预期 JWS 算法。

JWS 算法解析器是一个Function，它接受一个ClientRegistration并返回客户端的预期JwsAlgorithm，例如SignatureAlgorithm.RS256或MacAlgorithm.HS256

以下代码显示如何配置OidcIdTokenDecoderFactory @Bean以将所有ClientRegistration实例的默认值设置为MacAlgorithm.HS256

Java
Kotlin

@Bean
public JwtDecoderFactory<ClientRegistration> idTokenDecoderFactory() {
	OidcIdTokenDecoderFactory idTokenDecoderFactory = new OidcIdTokenDecoderFactory();
	idTokenDecoderFactory.setJwsAlgorithmResolver(clientRegistration -> MacAlgorithm.HS256);
	return idTokenDecoderFactory;
}

@Bean
fun idTokenDecoderFactory(): JwtDecoderFactory<ClientRegistration?> {
    val idTokenDecoderFactory = OidcIdTokenDecoderFactory()
    idTokenDecoderFactory.setJwsAlgorithmResolver { MacAlgorithm.HS256 }
    return idTokenDecoderFactory
}

对于基于 MAC 的算法（例如HS256、HS384或HS512），与client-id对应的client-secret用作签名验证的对称密钥。

如果为 OpenID Connect 1.0 身份验证配置了多个ClientRegistration，则 JWS 算法解析器可能会评估提供的ClientRegistration以确定要返回哪个算法。

然后，您可以继续配置注销