世界热议:Spring Boot的安全配置（二）

(资料图)

配置OAuth 2.0身份验证

OAuth 2.0是一种授权协议，允许用户授权第三方应用程序访问他们的资源。在Spring Boot中，可以使用spring-security-oauth2-autoconfigure库来实现OAuth 2.0身份验证。该库提供了一些可用的OAuth 2.0身份验证客户端，包括Facebook、GitHub、Google和Twitter等。

以下是使用Java配置实现GitHub OAuth2.0身份验证的示例：

@Configuration@EnableOAuth2Ssopublic class SecurityConfig extends WebSecurityConfigurerAdapter {    @Override    protected void configure(HttpSecurity http) throws Exception {        http.antMatcher("/**")            .authorizeRequests()            .antMatchers("/", "/login**")            .permitAll()            .anyRequest()            .authenticated()            .and()            .logout()            .logoutSuccessUrl("/")            .permitAll()            .and()            .csrf().disable()            .addFilterBefore(ssoFilter(), BasicAuthenticationFilter.class);    }    @Bean    public FilterRegistrationBean oauth2ClientFilterRegistration(OAuth2ClientContextFilter filter) {        FilterRegistrationBean registration = new FilterRegistrationBean();        registration.setFilter(filter);        registration.setOrder(-100);        return registration;    }    @Bean    public Filter ssoFilter() {        OAuth2ClientAuthenticationProcessingFilter githubFilter = new OAuth2ClientAuthenticationProcessingFilter("/login/github");        OAuth2RestTemplate githubTemplate = new OAuth2RestTemplate(github(), oauth2ClientContext);        githubFilter.setRestTemplate(githubTemplate);        UserInfoTokenServices tokenServices = new UserInfoTokenServices(githubResource().getUserInfoUri(), github().getClientId());        tokenServices.setRestTemplate(githubTemplate);        githubFilter.setTokenServices(tokenServices);        return githubFilter;    }    @Bean    public OAuth2ProtectedResourceDetails github() {        ClientCredentialsResourceDetails details = new ClientCredentialsResourceDetails();        details.setClientId("");        details.setClientSecret("");        details.setAccessTokenUri("");        details.setScope(Arrays.asList("", ""));        return details;    }    @Bean    public ResourceServerProperties githubResource() {        ResourceServerProperties resource = new ResourceServerProperties();        resource.setUserInfoUri("");        return resource;    }    @Autowired    private OAuth2ClientContext oauth2ClientContext;}

在上面的示例中，SecurityConfig类使用@EnableOAuth2Sso注解启用OAuth 2.0单点登录。configure()方法使用HttpSecurity对象来配置HTTP请求的安全性。.antMatcher("/**")表示拦截所有请求。.authorizeRequests()表示进行授权请求。.antMatchers("/", "/login**").permitAll()表示允许访问主页和登录页面，而不需要进行身份验证。.anyRequest().authenticated()表示所有其他请求都需要进行身份验证。.logout()方法指定了注销的URL和成功注销后的跳转页面。.csrf().disable()表示禁用跨站请求伪造保护。.addFilterBefore(ssoFilter(), BasicAuthenticationFilter.class)表示在BasicAuthenticationFilter之前添加OAuth2ClientAuthenticationProcessingFilter过滤器。

oauth2ClientFilterRegistration()方法使用FilterRegistrationBean注册OAuth2ClientContextFilter过滤器。

ssoFilter()方法创建OAuth2ClientAuthenticationProcessingFilter过滤器，它将处理"/login/github"路径的请求。OAuth2RestTemplate对象提供了GitHub OAuth 2.0客户端的访问令牌。UserInfoTokenServices对象使用OAuth2RestTemplate对象来访问GitHub资源服务器，并验证访问令牌。github()方法创建ClientCredentialsResourceDetails对象，它包含GitHub OAuth 2.0客户端的详细信息，例如客户端ID和客户端秘钥。ResourceServerProperties对象指定了GitHub资源服务器的用户信息URI。

3.0授权的示例：

@Configuration@EnableWebSecuritypublic class SecurityConfig extends WebSecurityConfigurerAdapter {    @Override    protected void configure(HttpSecurity http) throws Exception {        http.authorizeRequests()            .antMatchers("/admin/**").hasRole("ADMIN")            .antMatchers("/user/**").hasAnyRole("ADMIN", "USER")            .antMatchers("/**").permitAll()            .and()            .formLogin();    }    @Autowired    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {        auth.inMemoryAuthentication()            .withUser("user")            .password("{noop}password")            .roles("USER")            .and()            .withUser("admin")            .password("{noop}password")            .roles("ADMIN");    }}

在上面的示例中，SecurityConfig类使用@EnableWebSecurity注解启用Spring Security。configure()方法使用HttpSecurity对象来配置HTTP请求的安全性。.authorizeRequests()表示进行授权请求。.antMatchers("/admin/**").hasRole("ADMIN")表示要求管理员角色才能访问/admin路径。.antMatchers("/user/**").hasAnyRole("ADMIN", "USER")表示要求管理员或用户角色才能访问/user路径。.antMatchers("/**").permitAll()表示允许访问所有其他路径。.formLogin()表示启用表单登录。

configureGlobal()方法使用AuthenticationManagerBuilder对象来配置身份验证。inMemoryAuthentication()方法指定了在内存中存储用户凭据。.withUser("user").password("{noop}password").roles("USER")指定了用户名、密码和角色，其中{noop}前缀表示密码以明文形式存储在内存中。.withUser("admin").password("{noop}password").roles("ADMIN")指定了管理员用户的用户名、密码和角色。

以上是Spring Boot中基于OAuth 2.0和基于授权的安全配置示例。在实际开发中，您可以根据需要进行更改和扩展。