随笔分类 - OAuth 2.0/OIDC
摘要：今天无意发现了一个符合 OIDC 的 JAVA 客户端（pac4j），无缝支持 IdentityServer 与 Keycloak 。支持 OpenID Connect providers: Google, AzureAD, Okta, IdentityServer3 (and 4), MitreI
阅读全文
摘要：微服务体系中，避免不了服务之间链式调用，一般使用 Feign ，由于使用 Spring Security OAuth2 全局做了安全认证，简单的一种实现方式就是在服务提供方获得 Token 再次通过 HTTP 协议传递调用相应的服务。 @Configuration public class FeignConfig implements RequestInterceptor { @Overr...
阅读全文
摘要：Spring Boot 集成 Swagger2 很简单，由于接口采用了OAuth2.0 & JWT 协议做了安全验证，使用过程中也遇到了很多小的问题，多次尝试下述配置可以正常使用。 Maven io.springfox springfox-swagger2 2.8.0 ...
阅读全文
摘要：由于之前生产环境已经使用了 Identityserver4 用来做授权与认证的服务，而新项目采用 Spring Cloud 微服务体系，一方面 Spring Cloud 官方暂时只支持 OAuth2.0 协议，还不支持 OpenID Connect 协议（由于考虑到前项目后端分离登陆安全相关的功能已
阅读全文
摘要：关于 Jwt Token 的签名与安全性前面已经做了几篇介绍，在 IdentityServer4 中定义了 Jwt Token 与 Reference Token 两种验证方式（https://www.cnblogs.com/Irving/p/9357539.html），理论上 Spring Sec
阅读全文
摘要：椭圆曲线密码学（Elliptic curve cryptography），简称 ECC，是一种建立公开密钥加密的算法，也就是非对称加密，ECDH 与 ECDSA 是基于 ECC 的算法。类似的还有 RSA，ElGamal 算法等。ECC 被公认为在给定密钥长度下最安全的加密算法。比特币中的公私钥生成
阅读全文
摘要：OpenID Connect(Core)，OAuth 2.0(RFC 6749)，JSON Web Token (JWT)(RFC 7519) 之间有着密不可分联系，对比了不同语言的实现，还是觉得 IdentityServer4 设计的比较完美，最近把源码 clone 下来研究了一下，之前介绍过 I
阅读全文
摘要：在使用 Spring Cloud 体系来构建微服务的过程中，用户请求是通过网关(ZUUL 或 Spring APIGateway)以 HTTP 协议来传输信息，API 网关将自己注册为 Eureka 服务治理下的应用，同时也从 Eureka 服务中获取所有其他微服务的实例信息。搭建 OAuth2 认
阅读全文
摘要：API 网关的出现的原因是微服务架构的出现，不同的微服务一般会有不同的服务地址，而外部客户端可能需要调用多个服务的接口才能完成一个业务需求，如果让客户端直接与各个微服务通信，会有以下的问题： 客户端会多次请求不同的微服务，增加了客户端的复杂性。 存在跨域请求，在一定场景下处理相对复杂。 认证复杂，每个服务都需要独立认证。 难以重构，随着项目的迭代，可能需要重新划分微服务。例如，可能将多个...
阅读全文
摘要：在 ASP.NET WebAPI 集成 Swagger 后，由于接口使用了 IdentityServer 做的认证，调试起来很不方便；看了下 Swashbuckle 的文档 ，是支持 OAuth2.0 的配置的，使用的简化模式（Implicit grant type），交互的流程如下： Implic
阅读全文
摘要：在搭建 IdentityServer 服务端后，我们尝试使用了 OIDC(OpenID Connect) 的中间件来代替了原先的 Session 系统认证方式，起初采用的是 HTTP 协议，一切都没有什么问题，最近启用全站 HTTPS 后，发现登陆会跳转到 HTTP的页面， OpenID Conne
阅读全文
摘要：Idsr 定义了几种模式适用于不同的场景: 最近我们把 IdentityServer 部署到了生成环境，为了适用于 cs/bs，app 等不同终端，接入使用了 OAuth2.0 标准规范 AuthorizationCode，ClientCredentials，ResourceOwner，Implic
阅读全文
摘要：IdentityServer4 是 ASP.NET Core 的一个包含 OIDC 和 OAuth 2.0 协议的框架。最近的关注点在 ABP 上,默认 ABP 也集成 IdentityServer4,之前也介绍了很多 IdentityServer3 相关的文章(IdentityServer3 已停
阅读全文
摘要：最近花了一点时间，阅读了IdentityServer的源码，大致了解项目整体的抽象思维、面向对象的重要性; 生产环境如果要使用 IdentityServer3 ，主要涉及授权服务，资源服务的部署负载的问题，客户端（clients），作用域（scopes），票据（token）一定都要持久化, 客户端与
阅读全文
摘要：密码模式（Resource Owner Password Credentials Grant）中，用户向客户端提供自己的用户名和密码。客户端使用这些信息，向"服务商提供商"索要授权。基于之前的IdentityServer3 实现 OAuth 2.0 授权服务【客户端模式(Client Credentials Grant)】 修改。 客户端 public class Cl...
阅读全文
摘要：github:https://github.com/IdentityServer/IdentityServer3/ documentation:https://identityserver.github.io/Documentation/ samples https://github.com/IdentityServer/IdentityServer3.Sampl...
阅读全文
摘要：之前已经简单实现了OAUTH2的授权码模式(Authorization Code)，但是基于JAVA的，今天花了点时间调试了OWIN的实现，基本就把基于OWIN的OAUHT2的四种模式实现完了。官方推荐的.NET 包有 .NET DotNetOpenAuth Thinktecture IdentityServer 现Katana已经不更新了，新的版本是已经是asp.net ...
阅读全文
摘要：draft: http://self-issued.info/docs/draft-ietf-oauth-json-web-token.html http://tools.ietf.org/html/draft-jones-json-web-token-10 JWT全称JSON Web Token[
阅读全文
摘要：常用认证方式 在之前的文章REST API 安全设计指南与使用 AngularJS & NodeJS 实现基于 token 的认证应用两篇文章中，[译]web权限验证方法说明中也详细介绍，一般基于REST API 安全设计常用方式有： HTTP Basic Basic admin:admin Bas
阅读全文
摘要：前面在ASP.NET WEBAPI中集成了Client Credentials Grant与Resource Owner Password Credentials Grant两种OAUTH2模式，今天在调试Client Credentials Grant想到如下几点 建议TryGetBasicCredentials认证 validate client credentials should ...
阅读全文