权限认证（五）：OAuth2资源服务器
重点
认证服务器和资源服务器是服务端，可以看成是微信；
第三方客户端则是客户端，可以看成第三方的网站
用户在认证服务器认证成功后，再去资源服务器获取用户的相关资源
资源服务器是提供给第三方客户端使用的
如果没有第三方客户端，所有子模块都是自己内部的子系统，则使用单点登录即可
- 新建一个demo06，在demo05的基础上开发，确保能够跑通
- 由于使用jdbc管理第三方应用，所以查看数据库
- 任意使用一种模式获取token
- 检查该令牌是否有效，查看拥有的权限
- 测试通过
资源服务器的使用- 新建子模块resource
- 编写pom.xml
<dependencies>
<dependency>
<artifactId>base</artifactId>
<groupId>com.ychen.oauth2</groupId>
<version>1.0-SNAPSHOT</version>
</dependency>
<!--spring mvc相关的-->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<!-- Spring Security、OAuth2 和JWT等 -->
<dependency>
<groupId>org.springframework.cloud</groupId>
<artifactId>spring-cloud-starter-oauth2</artifactId>
</dependency>
<!-- springboot 单元测试 -->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-test</artifactId>
</dependency>
<!--热部署 ctrl+f9-->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-devtools</artifactId>
</dependency>
</dependencies>
<build>
<plugins>
<plugin>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-maven-plugin</artifactId>
</plugin>
</plugins>
</build>
- 编写启动类
@SpringBootApplication
public class ProductResourceApplication {
public static void main(String[] args) {
SpringApplication.run(ProductResourceApplication.class, args);
}
}
- 编写控制层接口，模拟一些资源
@RestController
@RequestMapping("/product")
public class ProductController {
@GetMapping("/list")
@PreAuthorize("hasAuthority('product')")
public MengxueguResult list() {
List<String> list = new ArrayList<>();
list.add("眼镜");
list.add("格子衬衣");
list.add("双肩包");
return MengxueguResult.ok(list);
}
}
- 拓展
@PreAuthorize("hasAuthority('product')")
# 表示在令牌有效的前提下，还要拥有product权限才能访问该资源，即如下检查令牌时查看是否拥有权限
- 编写配置类
@Configuration
@EnableResourceServer // 标识为资源服务器，请求服务中的资源，就要带着token过来，找不到token或token是无效访问不了资源
@EnableGlobalMethodSecurity(prePostEnabled = true) // 开启方法级别权限控制
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {
public static final String RESOURCE_ID = "product-server";
@Override
public void configure(ResourceServerSecurityConfigurer resources) throws Exception {
// 当前资源服务器的资源id，认证服务会认证客户端有没有访问这个资源id的权限，有则可以访问当前服务
resources.resourceId(RESOURCE_ID)
.tokenServices(tokenService())
;
}
public ResourceServerTokenServices tokenService(){
// 远程认证服务器进行校验 token 是否有效
RemoteTokenServices service = new RemoteTokenServices();
// 请求认证服务器校验的地址，默认情况 这个地址在认证服务器它是拒绝访问，要设置为认证通过可访问
service.setCheckTokenEndpointUrl("http://localhost:8090/auth/oauth/check_token");
service.setClientId("mengxuegu-pc");
service.setClientSecret("mengxuegu-secret");
return service;
}
}
- 拓展
RESOURCE_ID = "product-server"
# 表示在认证服务器中认证成功后，配置了可以访问的资源，由于认证服务器中配置的是product-server，所以为了测试这个资源服务器先配置为product-server
# 检查令牌时，可查看该token可访问的资源id
- 启动认证服务器模块和资源服务器模块进行测试
- 浏览器访问如下，获取授权码
http://localhost:8090/auth/oauth/authorize?client_id=mengxuegu-pc&response_type=code
-
输入用户名和密码，并同意授权，之后得到一个授权码
-
通过授权码模式得到一个token
-
检查令牌是否有效，有效则可以查看拥有的权限
-
拿到令牌去资源服务器获取资源，测试通过
资源服务器的权限配置
# 当用户在认证服务器中使用授权码模式，获取授权码的时候，会指定第三方的客户端可以访问服务端的哪些资源
# 而资源服务器的权限配置，则是用于限制服务端的不同资源需要不同的权限
# 第1层权限：RESOURCE_ID = "product-server";表示访问当前资源服务器需要的权限
# 第2层权限：scope=all，表示访问该资源服务器中的某些资源所需的权限
# 第3层权限：.antMatchers("/product/*").hasAuthority("product")；表示具体某个接口所需的权限
- 代码实现
# ResourceServerConfig配置类下添加如下
@Override
public void configure(HttpSecurity http) throws Exception {
http.sessionManagement()
// SpringSecurity不会使用也不会创建HttpSession实例
.sessionCreationPolicy(SessionCreationPolicy.STATELESS)
.and()
.authorizeRequests()
// 授权规则配置，表示拥有product权限的token才能访问/product/*路径下的接口
.antMatchers("/product/*").hasAuthority("product")
// 所有请求，都需要有all范围（scope）
.antMatchers("/**").access("#oauth2.hasScope('all')")
// 等价于上面
// .anyRequest().access("#oauth2.hasScope('all')")
;
}
- 拓展
.antMatchers("/product/*").hasAuthority("product")
# 表示拥有product权限的令牌才能访问/product/*路径下的资源，可在检查令牌时查看拥有的权限
.antMatchers("/**").access("#oauth2.hasScope('all')")
# 表示拥有all授权标识的令牌才能访问/**路径下的资源，可在检查令牌时查看拥有的授权标识
