Security也升级…之所以想写这一系列是因为之前工作过程中使用Spring

Security

OAuth2搭建了网关和授权服务器但当时基于spring-boot

Security是5.3.x。

之后新项目升级到了spring-boot

3.3.0结果一看Spring

Security的风格和以及OAuth2都做了较大改动里面甚至将授权服务器模块都移除了导致在配置同样功能时花费了些时间研究新版本的底层原理这里将一些学习经验分享给大家。

注意由于框架不同版本改造会有些使用的不同因此本次系列中使用基本框架是

Security是6.3.0JDK版本使用的是19本系列OAuth2的代码采用Spring

Security6.3.0框架所有代码都在oauth2-study项目上https://github.com/forever1986/oauth2-study.git

刷新token原理

上一章我们对token已经做了比较深入的了解但是还漏了一个点就是token刷新。

前面说过默认情况下access_token是会过期的因此需要刷新access_token

2参考上一章《系列之九

授权服务器–token的获取》中1.1使用Postman获取token进行前4步得到access_token和refresh_token

3刷新token访问http://localhost:9000/oauth2/token配置如下两个图

跟获取token的接口一样需要配置Authorization和Body

刷新token原理

1我们从接口/oauth2/token就可以知道其使用的还是OAuth2TokenEndpointFilter过滤器其中2个步骤比较重要如下图

我们这里可以记住一个准则在本次系列中你会看到Filter过滤器处理过程一般都是通过Converter转换请求过来的参数然后再通过Provider进行逻辑处理。

这是一般的准则后面很多底层原理直接看这2个不同实现类就能看出来。

2第一步中的au***nticationConverter其实是使用OAuth2RefreshTokenAu***nticationConverter实现类其处理如下图

3第二步使用au***nticationManager进行认证最终其实是使用OAuth2RefreshTokenAu***nticationProvider实现类进行认证并生成tokenOAuth2RefreshTokenAu***nticationProvider代码比较长这里不贴就说几个比较重要的点

先去authorizationService获取内存或者数据库存储的授权信息并判断refresh_token是否有效使用tokenGenerator代理token生成器分别生成access_token、refresh_token以及id_token将新生成的数据重新调用authorizationService保存返回token数据

结语本章我们讲解了刷新token的方式以及原理。

到目前为止我们已经对Spring

Security实现的授权服务器有了比较深入的了解。

下面我们将结合Spring