OAuth 2.0 资源服务器

Spring Security 支持使用两种形式的 OAuth 2.0 承载令牌 来保护端点

  • JWT

  • 不透明令牌

这在应用程序已将其授权管理委托给 授权服务器（例如 Okta 或 Ping Identity）的情况下非常有用。资源服务器可以咨询此授权服务器以授权请求。

本节详细介绍了 Spring Security 如何提供对 OAuth 2.0 承载令牌 的支持。

针对 JWT 和 不透明令牌 的工作示例都可以在 Spring Security 示例存储库 中找到。

现在我们可以考虑承载令牌身份验证在 Spring Security 中是如何工作的。首先，我们看到，与 基本身份验证 一样，WWW-Authenticate 标头会发送回未经身份验证的客户端

bearerauthenticationentrypoint
图 1. 发送 WWW-Authenticate 标头

上图基于我们的 SecurityFilterChain 图表。

数字 1 首先，用户对未经授权的用户未经身份验证的 /private 资源发出请求。

数字 2 Spring Security 的 AuthorizationFilter 指示未经身份验证的请求被拒绝，方法是抛出 AccessDeniedException。

数字 3 由于用户未经身份验证，ExceptionTranslationFilter 会启动开始身份验证。配置的 AuthenticationEntryPoint 是 BearerTokenAuthenticationEntryPoint 的实例，它会发送 WWW-Authenticate 标头。RequestCache 通常是 NullRequestCache，它不会保存请求，因为客户端能够重放它最初请求的请求。

当客户端收到 WWW-Authenticate: Bearer 标头时，它就知道应该使用承载令牌重试。下图显示了处理承载令牌的流程

bearertokenauthenticationfilter
图 2. 身份验证承载令牌

该图基于我们的 SecurityFilterChain 图表。

数字 1 当用户提交其承载令牌时，BearerTokenAuthenticationFilter 会创建一个 BearerTokenAuthenticationToken，它是一种 Authentication，方法是从 HttpServletRequest 中提取令牌。

数字 2 接下来，HttpServletRequest 将传递给 AuthenticationManagerResolver，它会选择 AuthenticationManager。BearerTokenAuthenticationToken 将传递到 AuthenticationManager 以进行身份验证。AuthenticationManager 的外观细节取决于您是为 JWT 还是 不透明令牌 配置的。

数字 3 如果身份验证失败，则失败

  • SecurityContextHolder 将被清除。

  • AuthenticationEntryPoint 被调用以触发再次发送 WWW-Authenticate 标头。

数字 4 如果身份验证成功，则成功。

  • Authentication 将设置在 SecurityContextHolder 上。

  • BearerTokenAuthenticationFilter 调用 FilterChain.doFilter(request,response) 以继续执行应用程序的其余逻辑。