Java的oauth2.0 服务端与客户端的实现

学习编程 2018-05-05

oauth原理简述

oauth本身不是技术,而是一项资源授权协议,重点是协议!Apache基金会提供了针对Java的oauth封装。我们做Java web项目想要实现oauth协议进行资源授权访问,直接使用该封装就可以。

oauth2.0 的协议实现原理,所有的技术层面的开发都是围绕这张图。

Java的oauth2.0 服务端与客户端的实现

整个开发流程简述一下:

1、 在客户端web项目中构造一个oauth的客户端请求对象(OAuthClientRequest),在此对象中携带客户端信息(clientId、accessTokenUrl、response_type、redirectUrl),将此信息放入http请求中,重定向到服务端。此步骤对应上图1

2、在服务端web项目中接受第一步传过来的request,从中获取客户端信息,可以自行验证信息的可靠性。同时构造一个oauth的code授权许可对象(OAuthAuthorizationResponseBuilder),并在其中设置授权码code,将此对象传回客户端。此步骤对应上图2

3、在在客户端web项目中接受第二步的请求request,从中获得code。同时构造一个oauth的客户端请求对象(OAuthClientRequest),此次在此对象中不仅要携带客户端信息(clientId、accessTokenUrl、clientSecret、GrantType、redirectUrl),还要携带接受到的code。再构造一个客户端请求工具对象(oAuthClient),这个工具封装了httpclient,用此对象将这些信息以post(一定要设置成post)的方式请求到服务端,目的是为了让服务端返回资源访问令牌。此步骤对应上图3。(另外oAuthClient请求服务端以后,会自行接受服务端的响应信息。

4、在服务端web项目中接受第三步传过来的request,从中获取客户端信息和code,并自行验证。再按照自己项目的要求生成访问令牌(accesstoken),同时构造一个oauth响应对象(OAuthASResponse),携带生成的访问指令(accesstoken),返回给第三步中客户端的oAuthClient。oAuthClient接受响应之后获取accesstoken,此步骤对应上图4

5、此时客户端web项目中已经有了从服务端返回过来的accesstoken,那么在客户端构造一个服务端资源请求对象(OAuthBearerClientRequest),在此对象中设置服务端资源请求URI,并携带上accesstoken。再构造一个客户端请求工具对象(oAuthClient),用此对象去服务端靠accesstoken换取资源。此步骤对应上图5

6、在服务端web项目中接受第五步传过来的request,从中获取accesstoken并自行验证。之后就可以将客户端请求的资源返回给客户端了。

代码:

客户端:

一、pom依赖:

<dependency>

<groupId>org.apache.oltu.oauth2</groupId>

<artifactId>org.apache.oltu.oauth2.client</artifactId>

<version>0.31</version>

</dependency>

二、controller方法:

2.1 向服务端请求授权码code的controller方法:

@RequestMapping("/server")

@Controller

publicclassServerController{

StringclientId=null;

StringclientSecret=null;

StringaccessTokenUrl=null;

StringuserInfoUrl=null;

StringredirectUrl=null;

Stringresponse_type=null;

Stringcode=null;

//提交申请code的请求

@RequestMapping("/requestServerCode")

publicString requestServerFirst(HttpServletRequestrequest, HttpServletResponseresponse, RedirectAttributesattr)throwsOAuthProblemException{

clientid="clientId";

clientSecret="clientSecret";

accessTokenUrl="responseCode";

redirectUrl="http://localhost:8081/oauthclient01/server/callbackCode";

response_type="code";

OAuthClientoAuthClient=newOAuthClient(newURLConnectionClient());

StringrequestUrl=null;

try{

//构建oauthd的请求。设置请求服务地址(accessTokenUrl)、clientId、response_type、redirectUrl

OAuthClientRequestaccessTokenRequest= OAuthClientRequest

.authorizationLocation(accessTokenUrl)

.setResponseType(response_type)

.setClientId(clientId)

.setRedirectURI(redirectUrl)

.buildQueryMessage();

requestUrl=accessTokenRequest.getLocationUri();

System.out.println(requestUrl);

}catch(OAuthSystemExceptione) {

e.printStackTrace();

}

return"redirect:http://localhost:8082/oauthserver/"+requestUrl;

}

此段代码对应开发步骤1.其中accessTokenUrl是服务端返回code的controller方法映射地址。redirectUrl是告诉服务端,code要传回客户端的一个controller方法,该方法的映射地址就是redirectUrl。

2.2向服务端请求资源访问令牌access token的controller方法:

//接受客户端返回的code,提交申请access token的请求

@RequestMapping("/callbackCode")

publicObject toLogin(HttpServletRequestrequest)throwsOAuthProblemException{

System.out.println("-----------客户端/callbackCode--------------------------------------------------------------------------------");

clientid="clientId";

clientSecret="clientSecret";

accessTokenUrl="http://localhost:8082/oauthserver/responseAccessToken";

userInfoUrl="userInfoUrl";

redirectUrl="http://localhost:8081/oauthclient01/server/accessToken";

HttpServletRequesthttpRequest= (HttpServletRequest)request;

code=httpRequest.getParameter("code");

System.out.println(code);

OAuthClientoAuthClient=newOAuthClient(newURLConnectionClient());

try{

OAuthClientRequestaccessTokenRequest= OAuthClientRequest

.tokenLocation(accessTokenUrl)

.setGrantType(GrantType.AUTHORIZATION_CODE)

.setClientId(clientId)

.setClientSecret(clientSecret)

.setCode(code)

.setRedirectURI(redirectUrl)

.buildQueryMessage();

//去服务端请求access token,并返回响应

OAuthAccessTokenResponseoAuthResponse=oAuthClient.accessToken(accessTokenRequest, OAuth.HttpMethod.POST);

//获取服务端返回过来的access token

StringaccessToken=oAuthResponse.getAccessToken();

//查看access token是否过期

LongexpiresIn=oAuthResponse.getExpiresIn();

System.out.println("客户端/callbackCode方法的token:::"+accessToken);

System.out.println("-----------客户端/callbackCode--------------------------------------------------------------------------------");

return"redirect:http://localhost:8081/oauthclient01/server/accessToken?accessToken="+accessToken;

}catch(OAuthSystemExceptione) {

e.printStackTrace();

}

returnnull;

}

此方法对应开发步骤3的全部和步骤4的一半,也就是还包括接受服务端返回的access token。最后的redirect地址不是服务端的地址,只是将此token传进客户端的另一个方法,该方法就是最后的资源请求方法。

2.3 利用服务端给的token去请求服务端的资源的controller方法。这里说的资源就是服务端数据库中的user表的uname值的拼接字段。

//接受服务端传回来的access token,由此token去请求服务端的资源(用户信息等)

@RequestMapping("/accessToken")

publicModelAndView accessToken(StringaccessToken) {

System.out.println("---------客户端/accessToken----------------------------------------------------------------------------------");

userInfoUrl="http://localhost:8082/oauthserver/userInfo";

System.out.println("accessToken");

OAuthClientoAuthClient=newOAuthClient(newURLConnectionClient());

try{

OAuthClientRequestuserInfoRequest=newOAuthBearerClientRequest(userInfoUrl)

.setAccessToken(accessToken).buildQueryMessage();

OAuthResourceResponseresourceResponse=oAuthClient.resource(userInfoRequest, OAuth.HttpMethod.GET, OAuthResourceResponse.class);

Stringusername=resourceResponse.getBody();

System.out.println(username);

ModelAndViewmodelAndView=newModelAndView("usernamePage");

modelAndView.addObject("username",username);

System.out.println("---------客户端/accessToken----------------------------------------------------------------------------------");

returnmodelAndView;

}catch(OAuthSystemExceptione) {

e.printStackTrace();

}catch(OAuthProblemExceptione) {

e.printStackTrace();

}

System.out.println("---------客户端/accessToken----------------------------------------------------------------------------------");

returnnull;

}

此方法对应开发步骤5的全部和步骤6的一半,也就是还包括接受服务端返回的资源信息。获取了资源信息之后,其余的开发就和平时的springmvc一毛一样了。

以上三个方法我全部封装在同一个ServerController类中。

服务端

pom依赖

1.<dependency>

2.<groupId>org.apache.oltu.oauth2</groupId>

3.<artifactId>org.apache.oltu.oauth2.authzserver</artifactId>

4.<version>0.31</version>

5.</dependency>

6.<dependency>

7.<groupId>org.apache.oltu.oauth2</groupId>

8.<artifactId>org.apache.oltu.oauth2.resourceserver</artifactId>

9.<version>0.31</version>

10.</dependency>

四 controller方法

4.1 向客户端返回授权码code的controller方法

@Controller

publicclassAuthorizeController{

@Autowired

privateUserServiceuserService;

//向客户端返回授权许可码code

@RequestMapping("/responseCode")

publicObject toShowUser(Modelmodel, HttpServletRequestrequest){

System.out.println("----------服务端/responseCode--------------------------------------------------------------");

try{

//构建OAuth授权请求

OAuthAuthzRequestoauthRequest=newOAuthAuthzRequest(request);

/*oauthRequest.getClientId();

oauthRequest.getResponseType();

oauthRequest.getRedirectURI();

System.out.println(oauthRequest.getClientId());

System.out.println(oauthRequest.getResponseType());

System.out.println(oauthRequest.getRedirectURI());*/

if(oauthRequest.getClientId()!=null&&oauthRequest.getClientId()!="")

{

//设置授权码

StringauthorizationCode="authorizationCode";

//利用oauth授权请求设置responseType,目前仅支持CODE,另外还有TOKEN

StringresponseType=oauthRequest.getParam(OAuth.OAUTH_RESPONSE_TYPE);

//进行OAuth响应构建

OAuthASResponse.OAuthAuthorizationResponseBuilderbuilder=

OAuthASResponse.authorizationResponse(request, HttpServletResponse.SC_FOUND);

//设置授权码

builder.setCode(authorizationCode);

//得到到客户端重定向地址

StringredirectURI=oauthRequest.getParam(OAuth.OAUTH_REDIRECT_URI);

//构建响应

finalOAuthResponseresponse=builder.location(redirectURI).buildQueryMessage();

System.out.println("服务端/responseCode内,返回的回调路径:"+response.getLocationUri());

System.out.println("----------服务端/responseCode--------------------------------------------------------------");

StringresponceUri=response.getLocationUri();

//根据OAuthResponse返回ResponseEntity响应

HttpHeadersheaders=newHttpHeaders();

try{

headers.setLocation(newURI(response.getLocationUri()));

}catch(URISyntaxExceptione) {

//TODOAuto-generated catch block

e.printStackTrace();

}

return"redirect:"+responceUri;

}

}catch(OAuthSystemExceptione) {

e.printStackTrace();

}catch(OAuthProblemExceptione) {

e.printStackTrace();

}

System.out.println("----------服务端/responseCode--------------------------------------------------------------");

returnnull;

}

}

此段代码对应开发步骤2

4.2 向客户端返回资源访问令牌accesstoken的controller方法

@Controller

publicclassAccessTokenController {

//获取客户端的code码,向客户端返回access token

@RequestMapping(value="/responseAccessToken",method = RequestMethod.POST)

publicHttpEntitytoken(HttpServletRequestrequest){

System.out.println("--------服务端/responseAccessToken-----------------------------------------------------------");

OAuthIssueroauthIssuerImpl=null;

OAuthResponseresponse=null;

//构建OAuth请求

try{

OAuthTokenRequestoauthRequest=newOAuthTokenRequest(request);

StringauthCode=oauthRequest.getParam(OAuth.OAUTH_CODE);

StringclientSecret=oauthRequest.getClientSecret();

if(clientSecret!=null||clientSecret!=""){

//生成Access Token

oauthIssuerImpl=newOAuthIssuerImpl(newMD5Generator());

finalStringaccessToken=oauthIssuerImpl.accessToken();

System.out.println(accessToken);

System.out.println("--oooo---");

//生成OAuth响应

response=OAuthASResponse

.tokenResponse(HttpServletResponse.SC_OK)

.setAccessToken(accessToken)

.buildJSONMessage();

}

System.out.println("--------服务端/responseAccessToken-----------------------------------------------------------");

//根据OAuthResponse生成ResponseEntity

returnnewResponseEntity(response.getBody(), HttpStatus.valueOf(response.getResponseStatus()));

}catch(OAuthSystemExceptione) {

//TODOAuto-generated catch block

e.printStackTrace();

}catch(OAuthProblemExceptione) {

//TODOAuto-generated catch block

e.printStackTrace();

}

System.out.println("--------服务端/responseAccessToken-----------------------------------------------------------");

returnnull;

}

}

此段代码对应开发步骤4的前面一半,即服务端验证code、生成token并给客户端

4.3 向客户端返回请求资源(username)的controller方法

@Controller

publicclassUserInfoController {

@Autowired

privateUserServiceuserService;

@RequestMapping("/userInfo")

publicHttpEntityuserInfo(HttpServletRequestrequest)throwsOAuthSystemException{

System.out.println("-----------服务端/userInfo-------------------------------------------------------------");

try{

//获取客户端传来的OAuth资源请求

OAuthAccessResourceRequestoauthRequest=newOAuthAccessResourceRequest(request, ParameterStyle.QUERY);

//获取Access Token

StringaccessToken=oauthRequest.getAccessToken();

System.out.println("accessToken");

//验证Access Token

/*if (accessToken==null||accessToken=="") {

//如果不存在/过期了,返回未验证错误,需重新验证

OAuthResponse oauthResponse = OAuthRSResponse

.errorResponse(HttpServletResponse.SC_UNAUTHORIZED)

.setError(OAuthError.ResourceResponse.INVALID_TOKEN)

.buildHeaderMessage();

HttpHeaders headers = new HttpHeaders();

headers.add(OAuth.HeaderType.WWW_AUTHENTICATE,

oauthResponse.getHeader(OAuth.HeaderType.WWW_AUTHENTICATE));

return new ResponseEntity(headers, HttpStatus.UNAUTHORIZED);

} */

//返回用户名

Useruser=userService.selectByPrimaryKey(1);

Stringusername=accessToken+"---"+Math.random()+"----"+user.getUname();

System.out.println(username);

System.out.println("服务端/userInfo::::::ppp");

System.out.println("-----------服务端/userInfo----------------------------------------------------------");

returnnewResponseEntity(username, HttpStatus.OK);

}catch(OAuthProblemExceptione) {

//TODOAuto-generated catch block

e.printStackTrace();

//检查是否设置了错误码

StringerrorCode=e.getError();

if(OAuthUtils.isEmpty(errorCode)) {

OAuthResponseoauthResponse= OAuthRSResponse

.errorResponse(HttpServletResponse.SC_UNAUTHORIZED)

.buildHeaderMessage();

HttpHeadersheaders=newHttpHeaders();

headers.add(OAuth.HeaderType.WWW_AUTHENTICATE,

oauthResponse.getHeader(OAuth.HeaderType.WWW_AUTHENTICATE));

returnnewResponseEntity(headers, HttpStatus.UNAUTHORIZED);

}

OAuthResponseoauthResponse= OAuthRSResponse

.errorResponse(HttpServletResponse.SC_UNAUTHORIZED)

.setError(e.getError())

.setErrorDescription(e.getDescription())

.setErrorUri(e.getUri())

.buildHeaderMessage();

HttpHeadersheaders=newHttpHeaders();

headers.add(OAuth.HeaderType.WWW_AUTHENTICATE,

oauthResponse.getHeader(OAuth.HeaderType.WWW_AUTHENTICATE));

System.out.println("-----------服务端/userInfo------------------------------------------------------------------------------");

returnnewResponseEntity(HttpStatus.BAD_REQUEST);

}

}

}

此代码对应开发步骤6的前一半。即服务端验证access token、并将资源信息给客户端

至此,整个Java集成oauth就完成了。

另外:需要验证的客户端信息,如clientId、clientSecret都是自行指定,与自己的项目相关,同时客户端信息的验证方法也是依情况而定,没有什么具体标准,我的demo里为了方便,基本上省略了客户端信息验证,都是默认合法。但是accessTokenUrl、userInfoUrl、redirectUrl一定要与自己的项目路径相符合。response_type、GrantType有标准模板,见代码。服务端生成的access token也是有标准的,见代码,too。

其他的所有模块和代码就是普通的spring-springmvc-mybatis了。

项目运行:

项目下载地址:点击打开链接

下载项目压缩包,解压,里面两个maven项目:oauthserver和oauthclient01,分别对应oauth服务端和客户端。

服务端对应的数据库sql文件在源码压缩包里可以看到。

两个项目分别用8082端口(服务端端口)和8081端口(客户端端口)部署并启动。

输入客户端地址:http://localhost:8081/oauthclient01/index,显示如下:

Java的oauth2.0 服务端与客户端的实现

点击到服务端请求资源,就可以得到如下结果:

Java的oauth2.0 服务端与客户端的实现

即获取到了服务端的资源。

相关推荐