如何实现自定义身份验证？

Question

我必须将我的系统与第三方提供商集成。该系统由 Spring 和 Angular 组成。

请记住，我需要创建一个自定义登录表单，而不是重定向到像 OAuth2 这样的第三方提供商表单。

他创建了以下端点：

获取令牌认证

POST http://example.com/webapi/api/web/token

“username=972.344.780-00&password=123456&grant_type=password”

响应向我发送了一个令牌，我必须在所有下一个请求期间使用该令牌。

获取用户信息

Authorization: Bearer V4SQRUucwbtxbt4lP2Ot_LpkpBUUAl5guvxAHXh7oJpyTCGcXVTT-yKbPrPDU9QII43RWt6zKcF5m0HAUSLSlrcyzOuJE7Bjgk48enIoawef5IyGhM_PUkMVmmdMg_1IdIb3Glipx88yZn3AWaneoWPIYI1yqZ9fYaxA-_QGP17Q-H2NZWCn2lfF57aHz8evrRXNt_tpOj_nPwwF5r86crEFoDTewmYhVREMQQjxo80

GET http://example.com/webapi/api/web/userInfo

也就是说，我需要什么来实现自定义身份验证？

在这种情况下我可以使用 Spring OAuth2 吗？

Answer 1

看这里的例子

将 JWT 与 Spring Security OAuth2 与 Angular 结合使用

在本教程中，我们将讨论如何让我们的 Spring Security OAuth2 实现使用 JSON Web Tokens。

http://www.baeldung.com/spring-security-oauth-jwt

@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.tokenStore(tokenStore())
                 .accessTokenConverter(accessTokenConverter())
                 .authenticationManager(authenticationManager);
    }

    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }

    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey("123");
        return converter;
    }

    @Bean
    @Primary
    public DefaultTokenServices tokenServices() {
        DefaultTokenServices defaultTokenServices = new DefaultTokenServices();
        defaultTokenServices.setTokenStore(tokenStore());
        defaultTokenServices.setSupportRefreshToken(true);
        return defaultTokenServices;
    }
}

Answer 2

您可以使用 Spring Security。流程如下。您根据安全令牌服务进行身份验证。包含身份验证令牌的 cookie 将写入您的浏览器。在针对服务器的每个后续请求中都会发送此令牌。

在其余服务器上，您将使用 Srping Security，更具体地说，您需要在其实现中使用 AbstractPreAuthenticatedProcessingFilter，您将提取令牌并将其与安全上下文相关联。

这是您的 spring 安全性的示例配置

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {


  @Bean
  public AuthenticationManager authenticationManagerBean() throws Exception {
    // TODO Auto-generated method stub
    return super.authenticationManagerBean();
  }

  public void configure(WebSecurity web) throws Exception {
        // do some configuration here
  }

  @Override
  public void configure(HttpSecurity http) throws Exception {
       // configure your Security here 
       // you can add your implementation of AbstractPreAuthenticatedProcessingFilter here
  }

}

这是您的附加配置

@Configuration
public class ExampleSpringSecurityConfig{


    @Bean
    public AuthenticationManager authenticationManager() {
        return authentication -> authProvider().authenticate(authentication);
    }

    private AuthenticationUserDetailsService<PreAuthenticatedAuthenticationToken> userdetailsService() {
       // Construct your AuthenticationUserDetailsService here
   }

    @Bean
    public PreAuthenticatedAuthenticationProvider authProvider() {
        PreAuthenticatedAuthenticationProvider authProvider = new PreAuthenticatedAuthenticationProvider();
        authProvider.setPreAuthenticatedUserDetailsService(userdetailsService());
        return authProvider;
    }





}

Answer 3

是的，您可以使用 Spring Oauth2。您必须实施资源所有者密码凭据授予 Oauth2 流程。 您必须为最终用户创建一个登录页面，并且您的客户端应用程序会将用户的凭据以及您的客户端系统凭据（对客户端系统凭据使用 HTTP 基本身份验证）发送到授权服务器以获取令牌。

有两种实现方式-

1. 使用客户端系统 ID 和密码 - 使用此授权类型调用令牌端点时，您需要传入客户端 ID 和密码（使用基本身份验证）。

curl -u 972.344.780-00:123456 "http://example.com/webapi/api/web/token?grant_type=password&username=addEndUserNameHere&password=addEndUserPasswordHere"

• 仅使用客户端系统 ID（无客户端系统密码）- 授权服务器应具有客户端设置以支持此流程而无需任何密码-

AuthorizationServerConfigurerAdapter 的子类应该有以下代码-

@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {    
        clients.inMemory()
            .withClient("clientId")
            .authorizedGrantTypes("password")
            .authorities("ROLE_CLIENT")
            .scopes("read");
    }
 }

@Override
public void configure(AuthorizationServerSecurityConfigurer oauthServer) throws Exception {
    oauthServer.allowFormAuthenticationForClients();
}

现在你可以在下面使用-

发布http://example.com/webapi/api/web/token?grant_type=password&client_id=my-trusted-client&scope=trust&username=addEndUserNameHere&password=addEndUserPasswordHere

注意 - 此流程的安全性低于其他 Oauth2 流程，建议仅用于受信任的客户端应用程序，因为用户必须向客户端应用程序提供凭据。