源码-Spring Security Oauth2

03.01-源码-Spring Security Oauth2

@(技术-架构)[源码, 权限, Security, Oauth2]

Oauth2 是一个开放标准，允许用户让第三方应用访问该用户在某一网站上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用。Spring-Security-Oauth2是基于Spring-Security安全框架实现Oauth2的标准授权验证，以下是对Spring-Security-Oauth2的源代码分析。

1、相关包说明

Spring-Security-Core：封装了验收、授权流程核心基础类。
Spring-Security-Web：是基于HTTP实现对安全验证的封装。
Spring-Security-Config：实现了Spring Security命名空间的配置。
Spring-Security-Oauth2：通过Spring Security框架，实现Oauth2标准验证流程。

2、Spring-Security-Core 分析

① 分层说明

• org.springframework.security.access

权限访问处理层，包含了访问权限annotation的配置注解，访问验证的事event，访问权限配置的表达式解析expression，对访问权限的方法拦截器intercept，权限方法注解的实现method，验证的post过程prepost，还有核心的授权方法与管理vote。

核心类访问决策器AccessDecisionVoter
AbstractAclVoter：提供编写域对象ACL选项的帮助方法，没有绑定到任何特定的ACL系统。
AclEntryVoter：给定一个作为方法参数传递的域对象实例，确保类要绑定合适的权限AclService。
AuthenticatedVoter：对 IS_AUTHENTICATED_FULLY或IS_AUTHENTICATED_REMEMBERED或 IS_AUTHENTICATED_ANONYMOUSLY检查与验证。
ClientScopeVoter：[Oauth2] 检查是否在客户端的权限范围内。
Jsr250Voter：通过JSR-250配置的注解进行授权。
PreInvocationAuthorizationAdviceVoter：使用@PreFilter和@PreAuthorize注释生成的PreInvocationAuthorizationAdvice来授权
RoleVoter：匹配默认的前缀字符串是ROLE_的ConfigAttribute，如果匹配到则授权，针对角色的授权。
RoleHierarchyVoter：扩展RoleVoter使用RoleHierarchy定义来确定在授权给当前用户的角色。
ScopeVoter：匹配默认的前缀字符串是SCOPE_的ConfigAttribute，如果匹配到则授权，如：授权范围SCOPE_READ、SCOPE_WRITE。

int ACCESS_GRANTED = 1; //决策结果-允许
int ACCESS_ABSTAIN = 0; //决策结果-放弃
int ACCESS_DENIED = -1; //决策结果-拒绝
//决策方法
int vote(Authentication authentication, S object, Collection<ConfigAttribute> attributes);

核心类访问控制决策管理AccessDecisionManager
AffirmativeBased实现类轮询所有配置 AccessDecisionVoter的，并且如果有的话AccessDecisionVoter肯定地授予访问权限。
ConsensusBased实现类轮询所有配置 AccessDecisionVoter的，并且如果AccessDecisionVoter肯定大于否定的数量的话就授予访问权限，相等的话就看AbstractAccessDecisionManager.isAllowIfAllAbstainDecisions()方法（默认为false）。
UnanimousBased实现类轮询所有配置AccessDecisionVoter的每个配置，并且如果AccessDecisionVoter全部是肯定才能授予访问权限。

//决策方法，如果决策不通过就抛出异常
void decide(Authentication authentication, Object object,Collection<ConfigAttribute> configAttributes) throws AccessDeniedException,InsufficientAuthenticationException;

• org.springframework.security.authentication

权限认证处理层，实现了对权限的管理和认证，dao封装了用户信息的访问，encoding封装了对用户密码加密的处理，event实现对授权验证的成功、失败等事件，jaas是对Java Jaas授权API的封装，rcp提供了远程授权验证与管理。