Java的oauth2.0 服务端与客户端的实现
oauth原理简述
oauth本身不是技术，而是一项资源授权协议，重点是协议！Apache基金会提供了针对Java的oauth封装。我们做Java web项目想要实现oauth协议进行资源授权访问，直接使用该封装就可以。
oauth2.0 的协议实现原理，所有的技术层面的开发都是围绕这张图。
整个开发流程简述一下：
1、 在客户端web项目中构造一个oauth的客户端请求对象（OAuthClientRequest），在此对象中携带客户端信息（clientId、accessTokenUrl、response_type、redirectUrl），将此信息放入http请求中，重定向到服务端。此步骤对应上图1
2、在服务端web项目中接受第一步传过来的request，从中获取客户端信息，可以自行验证信息的可靠性。同时构造一个oauth的code授权许可对象（OAuthAuthorizationResponseBuilder），并在其中设置授权码code，将此对象传回客户端。此步骤对应上图2
3、在在客户端web项目中接受第二步的请求request，从中获得code。同时构造一个oauth的客户端请求对象（OAuthClientRequest），此次在此对象中不仅要携带客户端信息（clientId、accessTokenUrl、clientSecret、GrantType、redirectUrl），还要携带接受到的code。再构造一个客户端请求工具对象（oAuthClient），这个工具封装了httpclient，用此对象将这些信息以post（一定要设置成post）的方式请求到服务端，目的是为了让服务端返回资源访问令牌。此步骤对应上图3。（另外oAuthClient请求服务端以后，会自行接受服务端的响应信息。
4、在服务端web项目中接受第三步传过来的request，从中获取客户端信息和code，并自行验证。再按照自己项目的要求生成访问令牌（accesstoken），同时构造一个oauth响应对象（OAuthASResponse），携带生成的访问指令（accesstoken），返回给第三步中客户端的oAuthClient。oAuthClient接受响应之后获取accesstoken，此步骤对应上图4
5、此时客户端web项目中已经有了从服务端返回过来的accesstoken，那么在客户端构造一个服务端资源请求对象（OAuthBearerClientRequest），在此对象中设置服务端资源请求URI，并携带上accesstoken。再构造一个客户端请求工具对象（oAuthClient），用此对象去服务端靠accesstoken换取资源。此步骤对应上图5
6、在服务端web项目中接受第五步传过来的request，从中获取accesstoken并自行验证。之后就可以将客户端请求的资源返回给客户端了。
代码：
客户端：
一、pom依赖：
<dependency> <groupId>org.apache.oltu.oauth2</groupId> <artifactId>org.apache.oltu.oauth2.client</artifactId> <version>0.31</version> </dependency> |
二、controller方法：
2.1 向服务端请求授权码code的controller方法：
@RequestMapping("/server") @Controller publicclassServerController{ StringclientId=null; StringclientSecret=null; StringaccessTokenUrl=null; StringuserInfoUrl=null; StringredirectUrl=null; Stringresponse_type=null; Stringcode=null; //提交申请code的请求 @RequestMapping("/requestServerCode") publicString requestServerFirst(HttpServletRequestrequest, HttpServletResponseresponse, RedirectAttributesattr)throwsOAuthProblemException{ clientid="clientId"; clientSecret="clientSecret"; accessTokenUrl="responseCode"; redirectUrl="http://localhost:8081/oauthclient01/server/callbackCode"; response_type="code"; OAuthClientoAuthClient=newOAuthClient(newURLConnectionClient()); StringrequestUrl=null; try{ //构建oauthd的请求。设置请求服务地址（accessTokenUrl）、clientId、response_type、redirectUrl OAuthClientRequestaccessTokenRequest= OAuthClientRequest .authorizationLocation(accessTokenUrl) .setResponseType(response_type) .setClientId(clientId) .setRedirectURI(redirectUrl) .buildQueryMessage(); requestUrl=accessTokenRequest.getLocationUri(); System.out.println(requestUrl); }catch(OAuthSystemExceptione) { e.printStackTrace(); } return"redirect:http://localhost:8082/oauthserver/"+requestUrl; } |
此段代码对应开发步骤1.其中accessTokenUrl是服务端返回code的controller方法映射地址。redirectUrl是告诉服务端，code要传回客户端的一个controller方法，该方法的映射地址就是redirectUrl。
2.2向服务端请求资源访问令牌access token的controller方法：
//接受客户端返回的code，提交申请access token的请求 @RequestMapping("/callbackCode") publicObject toLogin(HttpServletRequestrequest)throwsOAuthProblemException{ System.out.println("-----------客户端/callbackCode--------------------------------------------------------------------------------"); clientid="clientId"; clientSecret="clientSecret"; accessTokenUrl="http://localhost:8082/oauthserver/responseAccessToken"; userInfoUrl="userInfoUrl"; redirectUrl="http://localhost:8081/oauthclient01/server/accessToken"; HttpServletRequesthttpRequest= (HttpServletRequest)request; code=httpRequest.getParameter("code"); System.out.println(code); OAuthClientoAuthClient=newOAuthClient(newURLConnectionClient()); try{ OAuthClientRequestaccessTokenRequest= OAuthClientRequest .tokenLocation(accessTokenUrl) .setGrantType(GrantType.AUTHORIZATION_CODE) .setClientId(clientId) .setClientSecret(clientSecret) .setCode(code) .setRedirectURI(redirectUrl) .buildQueryMessage(); //去服务端请求access token，并返回响应 OAuthAccessTokenResponseoAuthResponse=oAuthClient.accessToken(accessTokenRequest, OAuth.HttpMethod.POST); //获取服务端返回过来的access token StringaccessToken=oAuthResponse.getAccessToken(); //查看access token是否过期 LongexpiresIn=oAuthResponse.getExpiresIn(); System.out.println("客户端/callbackCode方法的token：：："+accessToken); System.out.println("-----------客户端/callbackCode--------------------------------------------------------------------------------"); return"redirect:http://localhost:8081/oauthclient01/server/accessToken?accessToken="+accessToken; }catch(OAuthSystemExceptione) { e.printStackTrace(); } returnnull; } |
此方法对应开发步骤3的全部和步骤4的一半，也就是还包括接受服务端返回的access token。最后的redirect地址不是服务端的地址，只是将此token传进客户端的另一个方法，该方法就是最后的资源请求方法。
2.3 利用服务端给的token去请求服务端的资源的controller方法。这里说的资源就是服务端数据库中的user表的uname值的拼接字段。
//接受服务端传回来的access token，由此token去请求服务端的资源（用户信息等） @RequestMapping("/accessToken") publicModelAndView accessToken(StringaccessToken) { System.out.println("---------客户端/accessToken----------------------------------------------------------------------------------"); userInfoUrl="http://localhost:8082/oauthserver/userInfo"; System.out.println("accessToken"); OAuthClientoAuthClient=newOAuthClient(newURLConnectionClient()); try{ OAuthClientRequestuserInfoRequest=newOAuthBearerClientRequest(userInfoUrl) .setAccessToken(accessToken).buildQueryMessage(); OAuthResourceResponseresourceResponse=oAuthClient.resource(userInfoRequest, OAuth.HttpMethod.GET, OAuthResourceResponse.class); Stringusername=resourceResponse.getBody(); System.out.println(username); ModelAndViewmodelAndView=newModelAndView("usernamePage"); modelAndView.addObject("username",username); System.out.println("---------客户端/accessToken----------------------------------------------------------------------------------"); returnmodelAndView; }catch(OAuthSystemExceptione) { e.printStackTrace(); }catch(OAuthProblemExceptione) { e.printStackTrace(); } System.out.println("---------客户端/accessToken----------------------------------------------------------------------------------"); returnnull; } |
此方法对应开发步骤5的全部和步骤6的一半，也就是还包括接受服务端返回的资源信息。获取了资源信息之后，其余的开发就和平时的springmvc一毛一样了。
以上三个方法我全部封装在同一个ServerController类中。
服务端
三pom依赖
1.<dependency> 2.<groupId>org.apache.oltu.oauth2</groupId> 3.<artifactId>org.apache.oltu.oauth2.authzserver</artifactId> 4.<version>0.31</version> 5.</dependency> 6.<dependency> 7.<groupId>org.apache.oltu.oauth2</groupId> 8.<artifactId>org.apache.oltu.oauth2.resourceserver</artifactId> 9.<version>0.31</version> 10.</dependency> |
四 controller方法
4.1 向客户端返回授权码code的controller方法
@Controller publicclassAuthorizeController{ @Autowired privateUserServiceuserService; //向客户端返回授权许可码code @RequestMapping("/responseCode") publicObject toShowUser(Modelmodel, HttpServletRequestrequest){ System.out.println("----------服务端/responseCode--------------------------------------------------------------"); try{ //构建OAuth授权请求 OAuthAuthzRequestoauthRequest=newOAuthAuthzRequest(request); /*oauthRequest.getClientId(); oauthRequest.getResponseType(); oauthRequest.getRedirectURI(); System.out.println(oauthRequest.getClientId()); System.out.println(oauthRequest.getResponseType()); System.out.println(oauthRequest.getRedirectURI());*/ if(oauthRequest.getClientId()!=null&&oauthRequest.getClientId()!="") { //设置授权码 StringauthorizationCode="authorizationCode"; //利用oauth授权请求设置responseType，目前仅支持CODE，另外还有TOKEN StringresponseType=oauthRequest.getParam(OAuth.OAUTH_RESPONSE_TYPE); //进行OAuth响应构建 OAuthASResponse.OAuthAuthorizationResponseBuilderbuilder= OAuthASResponse.authorizationResponse(request, HttpServletResponse.SC_FOUND); //设置授权码 builder.setCode(authorizationCode); //得到到客户端重定向地址 StringredirectURI=oauthRequest.getParam(OAuth.OAUTH_REDIRECT_URI); //构建响应 finalOAuthResponseresponse=builder.location(redirectURI).buildQueryMessage(); System.out.println("服务端/responseCode内，返回的回调路径："+response.getLocationUri()); System.out.println("----------服务端/responseCode--------------------------------------------------------------"); StringresponceUri=response.getLocationUri(); //根据OAuthResponse返回ResponseEntity响应 HttpHeadersheaders=newHttpHeaders(); try{ headers.setLocation(newURI(response.getLocationUri())); }catch(URISyntaxExceptione) { //TODOAuto-generated catch block e.printStackTrace(); } return"redirect:"+responceUri; } }catch(OAuthSystemExceptione) { e.printStackTrace(); }catch(OAuthProblemExceptione) { e.printStackTrace(); } System.out.println("----------服务端/responseCode--------------------------------------------------------------"); returnnull; } } |
此段代码对应开发步骤2
4.2 向客户端返回资源访问令牌accesstoken的controller方法
@Controller publicclassAccessTokenController { //获取客户端的code码，向客户端返回access token @RequestMapping(value="/responseAccessToken",method = RequestMethod.POST) publicHttpEntitytoken(HttpServletRequestrequest){ System.out.println("--------服务端/responseAccessToken-----------------------------------------------------------"); OAuthIssueroauthIssuerImpl=null; OAuthResponseresponse=null; //构建OAuth请求 try{ OAuthTokenRequestoauthRequest=newOAuthTokenRequest(request); StringauthCode=oauthRequest.getParam(OAuth.OAUTH_CODE); StringclientSecret=oauthRequest.getClientSecret(); if(clientSecret!=null||clientSecret!=""){ //生成Access Token oauthIssuerImpl=newOAuthIssuerImpl(newMD5Generator()); finalStringaccessToken=oauthIssuerImpl.accessToken(); System.out.println(accessToken); System.out.println("--oooo---"); //生成OAuth响应 response=OAuthASResponse .tokenResponse(HttpServletResponse.SC_OK) .setAccessToken(accessToken) .buildJSONMessage(); } System.out.println("--------服务端/responseAccessToken-----------------------------------------------------------"); //根据OAuthResponse生成ResponseEntity returnnewResponseEntity(response.getBody(), HttpStatus.valueOf(response.getResponseStatus())); }catch(OAuthSystemExceptione) { //TODOAuto-generated catch block e.printStackTrace(); }catch(OAuthProblemExceptione) { //TODOAuto-generated catch block e.printStackTrace(); } System.out.println("--------服务端/responseAccessToken-----------------------------------------------------------"); returnnull; } } |
此段代码对应开发步骤4的前面一半，即服务端验证code、生成token并给客户端
4.3 向客户端返回请求资源（username）的controller方法
@Controller publicclassUserInfoController { @Autowired privateUserServiceuserService; @RequestMapping("/userInfo") publicHttpEntityuserInfo(HttpServletRequestrequest)throwsOAuthSystemException{ System.out.println("-----------服务端/userInfo-------------------------------------------------------------"); try{ //获取客户端传来的OAuth资源请求 OAuthAccessResourceRequestoauthRequest=newOAuthAccessResourceRequest(request, ParameterStyle.QUERY); //获取Access Token StringaccessToken=oauthRequest.getAccessToken(); System.out.println("accessToken"); //验证Access Token /*if (accessToken==null||accessToken=="") { //如果不存在/过期了，返回未验证错误，需重新验证 OAuthResponse oauthResponse = OAuthRSResponse .errorResponse(HttpServletResponse.SC_UNAUTHORIZED) .setError(OAuthError.ResourceResponse.INVALID_TOKEN) .buildHeaderMessage(); HttpHeaders headers = new HttpHeaders(); headers.add(OAuth.HeaderType.WWW_AUTHENTICATE, oauthResponse.getHeader(OAuth.HeaderType.WWW_AUTHENTICATE)); return new ResponseEntity(headers, HttpStatus.UNAUTHORIZED); } */ //返回用户名 Useruser=userService.selectByPrimaryKey(1); Stringusername=accessToken+"---"+Math.random()+"----"+user.getUname(); System.out.println(username); System.out.println("服务端/userInfo::::::ppp"); System.out.println("-----------服务端/userInfo----------------------------------------------------------"); returnnewResponseEntity(username, HttpStatus.OK); }catch(OAuthProblemExceptione) { //TODOAuto-generated catch block e.printStackTrace(); //检查是否设置了错误码 StringerrorCode=e.getError(); if(OAuthUtils.isEmpty(errorCode)) { OAuthResponseoauthResponse= OAuthRSResponse .errorResponse(HttpServletResponse.SC_UNAUTHORIZED) .buildHeaderMessage(); HttpHeadersheaders=newHttpHeaders(); headers.add(OAuth.HeaderType.WWW_AUTHENTICATE, oauthResponse.getHeader(OAuth.HeaderType.WWW_AUTHENTICATE)); returnnewResponseEntity(headers, HttpStatus.UNAUTHORIZED); } OAuthResponseoauthResponse= OAuthRSResponse .errorResponse(HttpServletResponse.SC_UNAUTHORIZED) .setError(e.getError()) .setErrorDescription(e.getDescription()) .setErrorUri(e.getUri()) .buildHeaderMessage(); HttpHeadersheaders=newHttpHeaders(); headers.add(OAuth.HeaderType.WWW_AUTHENTICATE, oauthResponse.getHeader(OAuth.HeaderType.WWW_AUTHENTICATE)); System.out.println("-----------服务端/userInfo------------------------------------------------------------------------------"); returnnewResponseEntity(HttpStatus.BAD_REQUEST); } } } |
此代码对应开发步骤6的前一半。即服务端验证access token、并将资源信息给客户端
至此，整个Java集成oauth就完成了。
另外：需要验证的客户端信息，如clientId、clientSecret都是自行指定，与自己的项目相关，同时客户端信息的验证方法也是依情况而定，没有什么具体标准，我的demo里为了方便，基本上省略了客户端信息验证，都是默认合法。但是accessTokenUrl、userInfoUrl、redirectUrl一定要与自己的项目路径相符合。response_type、GrantType有标准模板，见代码。服务端生成的access token也是有标准的，见代码，too。
其他的所有模块和代码就是普通的spring-springmvc-mybatis了。
项目运行：
项目下载地址：点击打开链接
下载项目压缩包，解压，里面两个maven项目：oauthserver和oauthclient01，分别对应oauth服务端和客户端。
服务端对应的数据库sql文件在源码压缩包里可以看到。
两个项目分别用8082端口（服务端端口）和8081端口（客户端端口）部署并启动。
输入客户端地址：http://localhost:8081/oauthclient01/index，显示如下：
点击到服务端请求资源，就可以得到如下结果：
即获取到了服务端的资源。