spring security與oauth2集成實現對多服務系統的認證與授權

系統架構流程

 

 

服務模塊可以有多個，認證和授權是做在一起的單獨一個模塊。

 

 

原本想寫關於spring security的源碼閱讀的文章，但是一方面考慮時間問題，另一方面出於實用的目的，這里打算記錄一下相關啟動加載流程，請求認證和授權的流程。

概要如下：

1、啟動流程概述

2、token獲取流程分析

3、請求的認證與授權流程分析

 

一、啟動流程概述

　　此處參考這里。

　　啟動流程的關注點主要涉及配置信息的加載和過濾器鏈的構建。

spring security框架核心就是這個過濾器鏈！它是分析流程始和調試代碼終要關心的重點。

首先看啟動入口類org.springframework.security.config.annotation.web.configuration.WebSecurityConfiguration，方法setFilterChainProxySecurityConfigurer中有

for (SecurityConfigurer<Filter, WebSecurity> webSecurityConfigurer : webSecurityConfigurers) {
            webSecurity.apply(webSecurityConfigurer);
        }

會將org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter類型的配置（security相關）、org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter類型配置（資源服務器相關）、org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter類型配置（授權服務器相關）都裝配到org.springframework.security.config.annotation.web.builders.WebSecurity對象中。

繼續關注方法springSecurityFilterChain，

public Filter springSecurityFilterChain() throws Exception {
        boolean hasConfigurers = webSecurityConfigurers != null
                && !webSecurityConfigurers.isEmpty();
        if (!hasConfigurers) {
            WebSecurityConfigurerAdapter adapter = objectObjectPostProcessor
                    .postProcess(new WebSecurityConfigurerAdapter() {
                    });
            webSecurity.apply(adapter);
        }
        return webSecurity.build();
    }

跟進第10行，進入org.springframework.security.config.annotation.AbstractSecurityBuilder#build，

public final O build() throws Exception {
        if (this.building.compareAndSet(false, true)) {
            this.object = doBuild();
            return this.object;
        }
        throw new AlreadyBuiltException("This object has already been built");
    }

繼續進入doBuild()方法，

protected final O doBuild() throws Exception {
        synchronized (configurers) {
            buildState = BuildState.INITIALIZING;

            beforeInit();
            init();

            buildState = BuildState.CONFIGURING;

            beforeConfigure();
            configure();

            buildState = BuildState.BUILDING;

            O result = performBuild();

            buildState = BuildState.BUILT;

            return result;
        }
    }

由於spring security的配置一般都是繼承org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter，這里針對它來看。重點看上面的第6行init(),第11行configure(),第15行performBuild()。init()方法會觸發org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter#init方法，

public void init(final WebSecurity web) throws Exception {
        final HttpSecurity http = getHttp();
        web.addSecurityFilterChainBuilder(http).postBuildAction(new Runnable() {
            public void run() {
                FilterSecurityInterceptor securityInterceptor = http
                        .getSharedObject(FilterSecurityInterceptor.class);
                web.securityInterceptor(securityInterceptor);
            }
        });
    }

接着看getHttp()方法，其中含有的如下代碼會構建默認過濾器鏈，

http
                .csrf().and()
                .addFilter(new WebAsyncManagerIntegrationFilter())
                .exceptionHandling().and()
                .headers().and()
                .sessionManagement().and()
                .securityContext().and()
                .requestCache().and()
                .anonymous().and()
                .servletApi().and()
                .apply(new DefaultLoginPageConfigurer<>()).and()
                .logout();

可通過debug查看每一步對應構建出來的過濾器，如下圖：

同時getHttp()方法最后有

configure(http)

這里會執行org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter類型的配置（security相關）、org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter類型配置（資源服務器相關）、org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter類型配置（授權服務器相關）許多configure方法。

到此大致解釋了配置信息的加載流程和默認過濾器鏈的創建。

 

二、token獲取流程分析

　　本文是使用oauth2的密碼授權模式（Password Grant Type），簡言之，首次認證時用戶傳遞過來用戶名密碼，認證服務器會返回一個token，其后用戶請求訪問資源時帶上這個token，即可訪問其有權限的資源。詳細參考：https://developer.okta.com/blog/2018/06/29/what-is-the-oauth2-password-grant 。

所以本文中所指單點登錄就是獲取這個token的過程。

token獲取的鏈接是：/oauth/token ，對應代碼在spring-security-oauth2 jar包的 org.springframework.security.oauth2.provider.endpoint.TokenEndpoint#postAccessToken ；

如果想了解整個流程走過的過濾器，可以在org.springframework.security.web.FilterChainProxy中斷點跟蹤執行到的過濾器鏈中的過濾器，具體可以在org.springframework.security.web.FilterChainProxy.VirtualFilterChain#doFilter方法內斷點。

這里我主要想了解token的生成，所以直接在postAccessToken方法內斷點，一步步走，直到如下這行代碼，

OAuth2AccessToken token = getTokenGranter().grant(tokenRequest.getGrantType(), tokenRequest);

這里就是請求授予token的地方，一步步斷點跟進去，最后回到方法org.springframework.security.oauth2.provider.CompositeTokenGranter#grant，

public OAuth2AccessToken grant(String grantType, TokenRequest tokenRequest) {
        for (TokenGranter granter : tokenGranters) {
            OAuth2AccessToken grant = granter.grant(grantType, tokenRequest);
            if (grant!=null) {
                return grant;
            }
        }
        return null;
    }

這里的tokenRequest見下圖，

從字面就看大概看出這對應oauth2的5種grant types，grant types參考https://oauth.net/2/grant-types/ ，我們密碼模式對應上圖中的最后一個Granter，方法org.springframework.security.oauth2.provider.CompositeTokenGranter#grant的第三行不同Granter都是根據grant type來選擇適用Granter，如果不匹配直接返回null。進入最后一個Granter的grant方法如下，

protected OAuth2AccessToken getAccessToken(ClientDetails client, TokenRequest tokenRequest) {
        return tokenServices.createAccessToken(getOAuth2Authentication(client, tokenRequest));
    }

 

最后進入getOAuth2Authentication(client, tokenRequest)，方法內有如下代碼，

userAuth = authenticationManager.authenticate(userAuth);

上面authenticationManager是一個org.springframework.security.authentication.ProviderManager，封裝了若干org.springframework.security.authentication.AuthenticationProvider，provider進行認證並返回非空Authentication則結束繼續認證，我們項目中使用的是org.springframework.security.authentication.dao.DaoAuthenticationProvider，她會做各種check（比如配置文件中配置的Checker），用戶密碼校驗等；

接着進入org.springframework.security.oauth2.provider.token.DefaultTokenServices#createAccessToken(org.springframework.security.oauth2.provider.OAuth2Authentication)方法，

@Transactional
    public OAuth2AccessToken createAccessToken(OAuth2Authentication authentication) throws AuthenticationException {

        OAuth2AccessToken existingAccessToken = tokenStore.getAccessToken(authentication);
        OAuth2RefreshToken refreshToken = null;
        if (existingAccessToken != null) {
            if (existingAccessToken.isExpired()) {
                if (existingAccessToken.getRefreshToken() != null) {
                    refreshToken = existingAccessToken.getRefreshToken();
                    // The token store could remove the refresh token when the
                    // access token is removed, but we want to
                    // be sure...
                    tokenStore.removeRefreshToken(refreshToken);
                }
                tokenStore.removeAccessToken(existingAccessToken);
            }
            else {
                // Re-store the access token in case the authentication has changed
                tokenStore.storeAccessToken(existingAccessToken, authentication);
                return existingAccessToken;
            }
        }

        // Only create a new refresh token if there wasn't an existing one
        // associated with an expired access token.
        // Clients might be holding existing refresh tokens, so we re-use it in
        // the case that the old access token
        // expired.
        if (refreshToken == null) {
            refreshToken = createRefreshToken(authentication);
        }
        // But the refresh token itself might need to be re-issued if it has
        // expired.
        else if (refreshToken instanceof ExpiringOAuth2RefreshToken) {
            ExpiringOAuth2RefreshToken expiring = (ExpiringOAuth2RefreshToken) refreshToken;
            if (System.currentTimeMillis() > expiring.getExpiration().getTime()) {
                refreshToken = createRefreshToken(authentication);
            }
        }

        OAuth2AccessToken accessToken = createAccessToken(authentication, refreshToken);
        tokenStore.storeAccessToken(accessToken, authentication);
        // In case it was modified
        refreshToken = accessToken.getRefreshToken();
        if (refreshToken != null) {
            tokenStore.storeRefreshToken(refreshToken, authentication);
        }
        return accessToken;

    }

我們項目使用redis存儲token的，如果token存在且未過期，20行直接返回，后面的代碼則是關於refreshToken是否過期，過期刷新，accessToken和refreshToken創建的過程，默認都是UUID.randomUUID().toString()生成一個UUID,都有過期時間機制，最后存入

tokenStore，對於我們的項目tokenStore就是redis。

到此token獲取流程分析完畢。




三、請求的認證與授權流程分析

客戶請求某個子應用時，需要先到認證服務器去認證，接着到授權服務器去檢測權限，那么如何辦到的呢？   假設服務應用為A,我們這里認證和授權的兩個服務是做在一期的，姑且稱之為B;

認證與授權的流程簡圖如下，

圖1 

 圖2

圖3

 

 

圖2和圖3分別是服務模塊和認證授權模塊中的過濾器鏈；抓住過濾器鏈方才能夠掌握整個流程。