8

我有一个使用 Spring 安全性并具有用户（用户名和密码）和标准表单身份验证的站点。我允许用户生成链接到他们的帐户的客户端 ID 和客户端密码，以便与 OAuth2 安全休息 API 一起使用。

我为 API 使用单独的客户端 ID 和客户端密码，而不是用户名和密码，因此用户可以在不破坏 API 凭据、设置特定范围、禁用 API 访问等的情况下更改密码等。

我使用 spring-security-oauth2 (provider) 来保护其余的 API，并且我允许客户端凭据流。我已经为 api 设置了客户端身份验证，以便检查客户端 ID 和密码。

从一个单独的应用程序中，我使用客户端 ID 和客户端密码来检索访问令牌并开始将其与 api 一起使用。在大多数情况下，我使用简单的 @PreAuthorize 表达式，通常基于客户端角色和范围，并且这些似乎可以正常工作。

以上所有似乎工作正常

但是......我现在有一些 API 端点，但是我需要根据来自底层用户的一些细节来实现一些更复杂的规则——在这种情况下，是生成客户端 ID 和密码的用户。

作为一个简单的例子，考虑一个消息传递应用程序，其中我有一个端点，允许用户发布一个可以变化的特定类型的新“消息”。我有每个用户和每种类型的允许收件人表，我想检查已发布消息的收件人是否与该类型的允许收件人匹配。（用户允许的收件人数据通常不大，并且很少更改，因此我很乐意在生成访问令牌时存储它的副本）

我在这些端点获得了主体，我看到它是 OAuth2Authentication 的一个实例，其中包含：

  • userAuthentication - null - 这对于客户端凭据流来说似乎是可以预期的。
  • 填充了 clientAuthentication 并且 authenticationParameters 包含授权类型和 client_id

我想我可以使用 clientAuthentication.authorizationParameters 中的客户端 ID 来查找用户和我需要的详细信息，但这将是每个 api 调用的一些查询，这似乎没有意义。

我猜想 Spring OAuth2 库中有一个不错的地方/方式，在授予访问令牌的同时，我可以添加一些额外的细节，以便稍后我可以从 OAuth2Authentication（主体）对象（或扩展它的东西？）

或者，是否有更好的方法完全解决此类问题？

谢谢！

4

3 回答 3

6

为什么您不使用可以在客户端详细信息中定义的范围，然后使用 ScopeVoter 验证此令牌是否具有访问此资源的适当范围。

请查看我的演示以获取更多详细信息

https://github.com/bassemZohdy/Spring_REST_OAuth_Demo

更新 1：我没有回复您的问题“从 OAuth2 主体获取自定义数据”的第 2 部分，您可以在授权服务器上添加休息服务，该服务器可以使用 OAuth 令牌访问，为您提供有关此令牌用户的所需信息，所以您可以这样做不必关心您也将授权服务器作为资源服务器处理的“OAuth2 主体”。

于 2013-04-28T14:27:45.020 回答
5

You can override the Token creation class so the token himself would contain the username. (maybe encrypted using the client_secret). This way you can get the user related to a token from the token itself without additional data base access. you should override 

<bean id="tokenServices" class="org.springframework.security.oauth2.provider.token.DefaultTokenServices">

with your own class, or use TokenEnhancer

于 2013-04-28T15:31:07.420 回答
5

在我看来，正确的方法是使用 oauth2 “密码”流程而不是客户端凭据。您可以创建一个通用的客户端 ID 和客户端密码，并将它们提供给您的所有用户。然后，每个用户都可以使用这些客户详细信息以及他自己的用户名和密码来请求他自己的令牌。这样，每个令牌都将连接到一个 UserDetails 对象，这将解决您的问题。你可以在这里看到这是如何完成的：https ://labs.hybris.com/2012/06/18/trying-out-oauth2-via-curl/

于 2013-04-28T14:33:08.307 回答