spring security整合QQ登录
最近在了解第三方登录的内容,尝试对接了一下QQ登录,此次记录一下如何实现QQ登录的过程,在这个例子中是和spring secuirty整合的,不整合spring secuirty也是一样的。
需求: 整合QQ登录
步骤:
1、在QQ互联上注册开发者身份
2、开发者身份审核通过后,创建一个自己的应用,此时需要记录如下三个信息
|- APP ID
|- APP Key
|- 回调地址: 这个地址是你自己网站的回调地址,即QQ登录成功后,QQ会重定向到这个地址上
假设回调地址是 http://www.abc.com /login/qq
注意:1、 如果是在本机测试需要修改host文件 增加一行 127.0.0.1 www.abc.com
2、记住上方的 /login/qq 在下方和spring security整合时需要用到
3、需要查看 QQ互联-> 网站应用->网站开发流程 不然看不懂下方 QQLoginFilter 中的各个url是什么意思
4、QQ登录流程(oauth2的授权码流程)
|- 将用户引导向QQ的认证服务器
|- 认证成功后QQ会重定向到 第二步 填写的回调地址,并会带上一个 code 参数,即授权码
|- 然后再通过 code 去换去访问令牌 即 access_token
|- 在通过访问令牌去获取用户的信息
5、和spring security整合
5.1 创建 QQLoginFilter 继承spring security 的 AbstractAuthenticationProcessingFilter,拦截地址为 /login/qq ,需要和上方的回调地址的后半部分一致
判断是否存在 code 参数
不存在:
说明用户是刚点击页面上的QQ登录按钮进来的,此时需要将用户引导向QQ的认证url,当用户认证成功后,在回调地址后会带上code参数,此时又会进入此过滤器中
存在:
说明用户同意了授权,即用户使用QQ登录了,那么此时就可以进行下一步操作,获取access_token,即令牌。然后再获取用户的openId的值,因为在获取用户的QQ基本信息时需要用到用户的openId.有了这些参数,然后就可以交给spring security的认证管理器去认证
5.2 编写认证提供者,在这个里面去获取QQ的用户信息,并返回spring security 的认证对象
代码实现:
一、编写 QQUserInfo 实体类,这个类表示的是当前QQ用户的基本信息
package com.huan.springsecurity.social.qq;
import com.google.gson.annotations.SerializedName;
import lombok.Data;
/**
* QQ的用户信息
*
* @描述
* @作者 huan
* @时间 2018年3月3日 - 下午5:54:30
*/
@Data
public class QQUserInfo {
private int ret;
private String msg;
private int isLost;
private String nickname;
private String gender;
private String province;
private String city;
private String year;
private String figureurl;
private String figureurl_1;
private String figureurl_2;
private String figureurl_qq_1;
private String figureurl_qq_2;
@SerializedName(value = "is_yellow_vip")
private String isYellowVip;
private String vip;
@SerializedName(value = "yellow_vip_level")
private String yellowVipLevel;
private String level;
@SerializedName(value = "is_yellow_year_vip")
private String isYellowYearVip;
}
二、编写 QQLoginToken
package com.huan.springsecurity.social.qq;
import java.util.Collection;
import org.springframework.security.authentication.AbstractAuthenticationToken;
import org.springframework.security.core.GrantedAuthority;
/**
* QQ登录的令牌,由spring security的 QQLoginProvider来处理这种令牌的信息
*
* @描述
* @作者 huan
* @时间 2018年3月3日 - 下午5:55:05
*/
public class QQLoginToken extends AbstractAuthenticationToken {
private static final long serialVersionUID = 3363567749045247416L;
private final Object principal;
private Object credentials;
private String accessToken;
private String clientId;
public QQLoginToken(Object principal, String accessToken, String clientId) {
super(null);
this.principal = principal;
this.accessToken = accessToken;
this.clientId = clientId;
this.credentials = null;
setAuthenticated(false);
}
public QQLoginToken(Object principal, String accessToken, String clientId, Collection<? extends GrantedAuthority> authorities) {
super(authorities);
this.principal = principal;
this.accessToken = accessToken;
this.clientId = clientId;
this.credentials = null;
super.setAuthenticated(true);
}
@Override
public Object getCredentials() {
return this.credentials;
}
@Override
public Object getPrincipal() {
return this.principal;
}
public String getAccessToken() {
return accessToken;
}
public String getClientId() {
return clientId;
}
@Override
public void setAuthenticated(boolean isAuthenticated) throws IllegalArgumentException {
if (isAuthenticated) {
throw new IllegalArgumentException("Cannot set this token to trusted - use constructor which takes a GrantedAuthority list instead");
}
super.setAuthenticated(false);
}
@Override
public void eraseCredentials() {
super.eraseCredentials();
credentials = null;
}
}
三、创建 QQLoginFilter 用来拦截 /login/qq 完成oauth2授权码流程的基本步骤
package com.huan.springsecurity.social.qq;
import java.io.IOException;
import java.util.Arrays;
import java.util.UUID;
import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.apache.commons.lang3.StringUtils;
import org.springframework.security.authentication.InternalAuthenticationServiceException;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;
import org.springframework.web.client.RestTemplate;
import lombok.extern.slf4j.Slf4j;
/**
* 拦截 /login/qq请求,用于引导用户到QQ的认证服务器,获取授权码(code),获取访问令牌(access_token)
*
* @描述
* @作者 huan
* @时间 2018年3月3日 - 下午5:57:32
*/
@Slf4j
public class QQLoginFilter extends AbstractAuthenticationProcessingFilter {
/**
* client_id 即在QQ互联上创建应用的APP ID
*/
private static final String CLIENT_ID = "自己应用的APP ID的值";
/**
* client_secret 即在QQ互联上创建应用的APP Key
*/
private static final String CLIENT_SECRET = "自己应用的APP Key的值";
/**
* redirect_uri 即在QQ互联上创建应用的回调地址
*/
private static final String REDIRECT_URI = "自己应用的回调地址,假设是http://www.abc.com/login/qq";
private static final String CODE = "code";
/**
* 需要获取那些接口的访问权限
*/
private static final String SCOPE = "get_user_info";
/**
* 获取授权码url
*/
private static final String GET_AUTHORIZATION_CODE = "https://graph.qq.com/oauth2.0/authorize?response_type=%s&client_id=%s&redirect_uri=%s&state=%s&scope=%s";
/**
* 获取access_token
*/
public static final String GET_ACCESS_TOKEN = "https://graph.qq.com/oauth2.0/token?grant_type=authorization_code&client_id=%s&client_secret=%s&code=%s&redirect_uri=%s";
/**
* 获取openId
*/
public static final String GET_OPEN_ID = "https://graph.qq.com/oauth2.0/me?access_token=%s";
/**
* 用于发送请求
*/
private final RestTemplate restTemplate;
protected QQLoginFilter(String defaultFilterProcessesUrl, RestTemplate restTemplate) {
super(new AntPathRequestMatcher(defaultFilterProcessesUrl, "GET"));
this.restTemplate = restTemplate;
}
@Override
public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException, IOException, ServletException {
String code = obtainCode(request);
if (StringUtils.isBlank(code)) {
log.info("没有获取到code的值,引导用户到QQ授权页面");
response.sendRedirect(String.format(GET_AUTHORIZATION_CODE, CODE, CLIENT_ID, REDIRECT_URI, UUID.randomUUID().toString(), SCOPE));
return null;
}
log.info("当前是从QQ授权登录返回,获取到code的值为:{}", code);
log.info("根据code:{}的值取换取access_token的值", code);
String result = restTemplate.getForObject(String.format(GET_ACCESS_TOKEN, CLIENT_ID, CLIENT_SECRET, code, REDIRECT_URI), String.class);
log.info("根据code:{}获取access_token的返回值是:{}", code, result);
if (result.contains("error")) {
throw new InternalAuthenticationServiceException("QQ登录失败");
}
String accessToken = Arrays.stream(result.split("&")).filter(s -> s.split("=")[0].equals("access_token")).map(s -> s.split("=")[1]).reduce("", String::concat);
log.info("获取到的accessToken:{}", accessToken);
log.info("根据accessToken去获取用户的openId的值。");
result = restTemplate.getForObject(String.format(GET_OPEN_ID, accessToken), String.class);
log.info("根据accessToken:{}换取openId的结果为:{}", accessToken, result);
String openId = StringUtils.substringBetween(result, "\"openid\":\"", "\"}");
log.info("根据accessToken:{}换取的openId的值为:{}", accessToken, openId);
QQLoginToken qqLoginToken = new QQLoginToken(openId, accessToken, CLIENT_ID);
qqLoginToken.setDetails(authenticationDetailsSource.buildDetails(request));
return super.getAuthenticationManager().authenticate(qqLoginToken);
}
protected String obtainCode(HttpServletRequest request) {
return request.getParameter(CODE);
}
}
四、编写QQ认证提供者,用来获取QQ用户的信息
package com.huan.springsecurity.social.qq;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.InternalAuthenticationServiceException;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.core.authority.AuthorityUtils;
import org.springframework.web.client.RestTemplate;
import com.google.gson.Gson;
import com.huan.springsecurity.security.User;
import lombok.extern.slf4j.Slf4j;
/**
* 根据用户的openId去获取在系统中的实际用户信息
*
* @描述
* @作者 huan
* @时间 2018年3月3日 - 下午6:04:21
*/
@Slf4j
public class QQLoginProvider implements AuthenticationProvider {
/**
* 获取QQ的用户信息
*/
private static final String GET_USER_INFO = "https://graph.qq.com/user/get_user_info?access_token=%s&oauth_consumer_key=%s&openid=%s";
private RestTemplate restTemplate;
public QQLoginProvider(RestTemplate restTemplate) {
this.restTemplate = restTemplate;
}
@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
QQLoginToken qqLoginToken = (QQLoginToken) authentication;
String openId = (String) qqLoginToken.getPrincipal();
String accessToken = qqLoginToken.getAccessToken();
String oauthConsumerKey = qqLoginToken.getClientId();
String userInfo = restTemplate.getForObject(String.format(GET_USER_INFO, accessToken, oauthConsumerKey, openId), String.class);
log.info("获取到的qq登录信息为:{}", userInfo);
Gson gson = new Gson();
QQUserInfo qqUserInfo = gson.fromJson(userInfo, QQUserInfo.class);
if (qqUserInfo.getRet() < 0) {
throw new InternalAuthenticationServiceException(qqUserInfo.getMsg());
}
User securityUser = new User(qqUserInfo.getNickname(), AuthorityUtils.createAuthorityList("ROLE_USER"));
QQLoginToken token = new QQLoginToken(securityUser, qqLoginToken.getAccessToken(), qqLoginToken.getClientId(), securityUser.getAuthorities());
return token;
}
@Override
public boolean supports(Class<?> authentication) {
return QQLoginToken.class.isAssignableFrom(authentication);
}
}
五、编写QQ登录的配置
package com.huan.springsecurity.social.qq;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.config.annotation.SecurityConfigurerAdapter;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.web.DefaultSecurityFilterChain;
import org.springframework.security.web.authentication.AuthenticationSuccessHandler;
import org.springframework.security.web.authentication.preauth.AbstractPreAuthenticatedProcessingFilter;
import org.springframework.web.client.RestTemplate;
/**
* QQ登录的配置
*
* @描述
* @作者 huan
* @时间 2018年3月3日 - 下午6:05:01
*/
public class QQLoginConfigure extends SecurityConfigurerAdapter<DefaultSecurityFilterChain, HttpSecurity> {
@Autowired
private RestTemplate restTemplate;
@Autowired
private AuthenticationSuccessHandler authenticationSuccessHandler;
@Override
public void configure(HttpSecurity http) throws Exception {
QQLoginFilter qqLoginFilter = new QQLoginFilter("/login/qq", restTemplate);
qqLoginFilter.setAuthenticationSuccessHandler(authenticationSuccessHandler);
qqLoginFilter.setAuthenticationManager(http.getSharedObject(AuthenticationManager.class));
http.authenticationProvider(new QQLoginProvider(restTemplate)).addFilterBefore(qqLoginFilter, AbstractPreAuthenticatedProcessingFilter.class);
}
}
六、将 QQLoginConfiger 加入到spring security的主配置中
七、登录页面: 看QQ登录的这个链接
<form action="auth" method="post">
用户名:<input type="text" name="user_name" value="admin"/><br />
密码:<input type="password" name="pass_word" value="admin"/><br/>
记住我:<input type="checkbox" name="remember-me" value="true"><br/>
<a href="login/qq">QQ登录</a>
<input type="submit" value="登录">
</form>
注意:此时QQ的登录请求为 /login/qq 此时就会被 spring security 的 QQLoginFilter拦截到
八、登录结果
注意:
1、代码地址 : https://github.com/flyingDream/springsecurity
2、完成代码中的 QQLoginFilter中 的 CLIENT_ID,CLIENT_SECRET,REDIRECT_URI就可以实现QQ登录了,参数是什么意思,代码中有注释。
本文来自博客园,作者:huan1993,转载请注明原文链接:https://www.cnblogs.com/huan1993/p/15416197.html