国产av日韩一区二区三区精品,成人性爱视频在线观看,国产,欧美,日韩,一区,www.成色av久久成人,2222eeee成人天堂

首頁 Java java教程 Spring 授權(quán)伺服器 spring security 具有自訂使用者詳細資訊服務(wù)，用於靈活的資料驅(qū)動身份驗證

Spring 授權(quán)伺服器 spring security 具有自訂使用者詳細資訊服務(wù)，用於靈活的資料驅(qū)動身份驗證

Jan 23, 2025 pm 12:07 PM

Spring授權(quán)伺服器

Spring 授權(quán)伺服器是一個旨在實作 OAuth 2.1 和 OpenID Connect 1.0 規(guī)格以及其他相關(guān)標準的框架。它基於 Spring Security 構(gòu)建，為創(chuàng)建符合 OpenID Connect 1.0 和 OAuth2 授權(quán)伺服器解決方案的身份提供者提供了安全、輕量級和可自訂的基礎(chǔ)。

功能列表

什麼是 Spring Security 以及它是如何運作的？

簡短回答
Spring Security 是一個功能強大且高度可自訂的身份驗證和存取控制框架。它是保護基於 Spring 的應(yīng)用程式的事實標準。

本質(zhì)上，Spring Security 本質(zhì)上是 servlet 過濾器的集合，旨在透過強大的身份驗證和授權(quán)功能來增強您的 Web 應(yīng)用程式。

Spring Security 也與 Spring Web MVC 或 Spring Boot 等框架配合，支援 OAuth2 和 SAML 等標準。它會自動產(chǎn)生登入和登出接口，並保護您的應(yīng)用程式免受 CSRF 等常見安全漏洞的影響。

嗯，這不是很有幫助，不是嗎？

讓我們深入研究網(wǎng)路安全，以掌握其安全工作流程的要點。

要成為Spring Security專家，首先要掌握這三個核心概念：

  • 驗證
  • 授權(quán)
  • Servlet 過濾器

注意 - 不要繞過此部分；它為所有 Spring Security 功能奠定了基礎(chǔ)。

驗證

您需要在線上存取您的銀行帳戶以查看餘額或進行交易。通常這是使用使用者名稱和密碼完成的

使用者：「我是 John Doe。我的使用者名稱是：johndoe1985。」
銀行系統(tǒng)：「請驗證您的身分。您的密碼是多少？」
使用者：「我的密碼是：secureB@nk2023?！?br> 銀行系統(tǒng)：「歡迎，John Doe。這是您的帳戶概覽?！?/p>

授權(quán)

對於基本應(yīng)用程序，僅進行身份驗證就足夠了：用戶登入後，他們將被授予訪問應(yīng)用程式所有區(qū)域的權(quán)限。

但是，在大多數(shù)應(yīng)用程式中，都有權(quán)限或角色在發(fā)揮作用。

使用者：「讓我來玩一下該交易...」
銀行系統(tǒng)：「等一下，我需要先檢查您的權(quán)限…是的，John Doe 先生，您的權(quán)限等級正確。盡情享受吧?！?br> 使用者：「我轉(zhuǎn)1M哈哈哈…開玩笑開玩笑」

小服務(wù)程序過濾器

現(xiàn)在，讓我們來探索 Servlet 濾鏡。它們與身分驗證和授權(quán)有何關(guān)係？

為什麼要使用 Servlet 濾鏡？
每個 Spring Web 應(yīng)用程式都圍繞著一個 servlet 展開：值得信賴的 DispatcherServlet。它的主要作用是將傳入的 HTTP 請求（例如來自瀏覽器的請求）路由到適當?shù)?@Controller 或 @RestController 進行處理。

事情是這樣的：DispatcherServlet 本身沒有任何內(nèi)建的安全功能，您可能不想直接在 @Controller 中處理原始 HTTP Basic Auth 標頭。理想情況下，在請求到達您的 @Controllers

之前就應(yīng)該處理身份驗證和授權(quán)

幸運的是，在 Java Web 環(huán)境中，您可以透過在 servlet 之前放置過濾器來實現(xiàn)這一點。這意味著您可以考慮建立一個 SecurityFilter 並將其設(shè)定在 Tomcat（servlet 容器/應(yīng)用程式伺服器）中，以在每個傳入的 HTTP 請求到達您的 servlet 之前攔截和處理它。

Security context

SecurityFilter 大約有 4 個任務(wù)

  1. 首先，過濾器需要從請求中提取使用者名稱/密碼。它可以透過基本驗證 HTTP 標頭、表單欄位或 cookie 等實作。
  2. 然後過濾器需要根據(jù)資料庫等內(nèi)容驗證使用者名稱/密碼組合。
  3. 過濾器需要在身份驗證成功後檢查使用者是否有權(quán)存取所要求的 URI。
  4. 如果請求通過了所有這些檢查，那麼過濾器就可以 讓請求傳遞到您的 DispatcherServlet，即您的 @Controllers。

過濾器鏈

在實踐中，我們會將一個過濾器分解為多個過濾器，然後您可以將它們連結(jié)在一起。

以下是傳入 HTTP 請求的傳輸方式：

  1. 首先，它透過 LoginMethodFilter...
  2. 接下來，它會通過 AuthenticationFilter...
  3. 然後，它移到 AuthorizationFilter...
  4. 最後，它到達您的 servlet。

此設(shè)定稱為 FilterChain。

透過使用過濾器（或一系列過濾器），您可以有效地管理應(yīng)用程式中的所有身份驗證和授權(quán)挑戰(zhàn)，而無需更改 @RestControllers 或 @Controllers 的核心實作。

Spring 的 DefaultSecurityFilterChain

假設(shè)您已經(jīng)正確配置了 Spring Security 並啟動了您的 Web 應(yīng)用程式。您會注意到一條日誌訊息，如下所示：

2020-02-25 10:24:27.875  INFO 11116 --- [           main] o.s.s.web.DefaultSecurityFilterChain     : Creating filter chain: any request, [org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter@46320c9a, org.springframework.security.web.context.SecurityContextPersistenceFilter@4d98e41b, org.springframework.security.web.header.HeaderWriterFilter@52bd9a27, org.springframework.security.web.csrf.CsrfFilter@51c65a43, org.springframework.security.web.authentication.logout.LogoutFilter@124d26ba, org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter@61e86192, org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter@10980560, org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter@32256e68, org.springframework.security.web.authentication.www.BasicAuthenticationFilter@52d0f583, org.springframework.security.web.savedrequest.RequestCacheAwareFilter@5696c927, org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter@5f025000, org.springframework.security.web.authentication.AnonymousAuthenticationFilter@5e7abaf7, org.springframework.security.web.session.SessionManagementFilter@681c0ae6, org.springframework.security.web.access.ExceptionTranslationFilter@15639d09, org.springframework.security.web.access.intercept.FilterSecurityInterceptor@4f7be6c8]|

擴充這一行表示 Spring Security 不僅僅添加一個過濾器，它還設(shè)定了一個包含 15 個（！）不同過濾器的完整過濾器鏈。

當 HTTP 請求到達時，它會依次通過這 15 個過濾器中的每一個，然後最終到達您的 @RestControllers。這些過濾器的順序至關(guān)重要，因為請求是從鏈的頂部到底部處理的。

security chain

分析 Spring 的 FilterChain

深入研究鏈中每個過濾器的細節(jié)會讓我們走得太遠，但這裡是一些關(guān)鍵過濾器的解釋。為了更深入地了解其他內(nèi)容，您可以探索 Spring Security 的原始程式碼。

  1. BasicAuthenticationFilter：嘗試在請求中尋找基本驗證 HTTP 標頭，如果找到，請嘗試使用標頭的使用者名稱和密碼對使用者進行驗證。
  2. UsernamePasswordAuthenticationFilter：嘗試尋找使用者名稱/密碼請求參數(shù)/POST 正文，如果找到，請嘗試使用這些值對使用者進行驗證。
  3. DefaultLoginPageGenerateFilter：如果您沒有明確停用該功能，則會為您產(chǎn)生登入頁面。這個過濾器就是您在啟用 Spring Security 時獲得預(yù)設(shè)登入頁面的原因。
  4. DefaultLogoutPageGenerateFilter：如果您沒有明確停用該功能，則會為您產(chǎn)生一個登出頁面。
  5. FilterSecurityInterceptor：是否經(jīng)過您的授權(quán)。

開玩笑

問題 - 為什麼 HTTP 請求會被 Spring Security 過濾器破壞？
回答 - 因為每次它試圖靠近時，過濾器都會說：「等一下！讓我先檢查一下你！」 ?

是的，休息......哇，等等......這次的安全討論太多了！

設(shè)定 Spring 授權(quán)伺服器

開始使用 Spring 授權(quán)伺服器的最簡單方法是建立基於 Spring Boot 的應(yīng)用程式。您可以使用start.spring.io產(chǎn)生一個基本專案。

唯一需要的依賴是實作（“org.springframework.boot:spring-boot-starter-oauth2-authorization-server”）

我們將增加另外兩個來執(zhí)行更多操作

2020-02-25 10:24:27.875  INFO 11116 --- [           main] o.s.s.web.DefaultSecurityFilterChain     : Creating filter chain: any request, [org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter@46320c9a, org.springframework.security.web.context.SecurityContextPersistenceFilter@4d98e41b, org.springframework.security.web.header.HeaderWriterFilter@52bd9a27, org.springframework.security.web.csrf.CsrfFilter@51c65a43, org.springframework.security.web.authentication.logout.LogoutFilter@124d26ba, org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter@61e86192, org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter@10980560, org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter@32256e68, org.springframework.security.web.authentication.www.BasicAuthenticationFilter@52d0f583, org.springframework.security.web.savedrequest.RequestCacheAwareFilter@5696c927, org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter@5f025000, org.springframework.security.web.authentication.AnonymousAuthenticationFilter@5e7abaf7, org.springframework.security.web.session.SessionManagementFilter@681c0ae6, org.springframework.security.web.access.ExceptionTranslationFilter@15639d09, org.springframework.security.web.access.intercept.FilterSecurityInterceptor@4f7be6c8]|

如何設(shè)定 Spring Security

使用最新的 Spring Security 和/或 Spring Boot 版本，設(shè)定 Spring Security 的方法是使用一個類別： 使用 @EnableWebSecurity 註解。 

dependencies {
    implementation("org.springframework.boot:spring-boot-starter-oauth2-authorization-server")
    implementation("org.springframework.boot:spring-boot-starter-webflux")
    implementation("org.springframework.boot:spring-boot-starter-validation")
}

(1)：協(xié)定端點的 Spring Security 過濾器鏈。
(2) ：用於身份驗證的 Spring Security 過濾器鏈。
(3) : com.nimbusds.jose.jwk.source.JWKSource 的實例，用於簽署存取權(quán)杖。
(4) : 用於解碼簽章存取權(quán)杖的 JwtDecoder 實例。
(5) : AuthorizationServerSettings 實例，用於設(shè)定 Spring Authorization Server。

讓我們設(shè)定 CORS 以允許某些 URL 存取我們的應(yīng)用程式

2020-02-25 10:24:27.875  INFO 11116 --- [           main] o.s.s.web.DefaultSecurityFilterChain     : Creating filter chain: any request, [org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter@46320c9a, org.springframework.security.web.context.SecurityContextPersistenceFilter@4d98e41b, org.springframework.security.web.header.HeaderWriterFilter@52bd9a27, org.springframework.security.web.csrf.CsrfFilter@51c65a43, org.springframework.security.web.authentication.logout.LogoutFilter@124d26ba, org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter@61e86192, org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter@10980560, org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter@32256e68, org.springframework.security.web.authentication.www.BasicAuthenticationFilter@52d0f583, org.springframework.security.web.savedrequest.RequestCacheAwareFilter@5696c927, org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter@5f025000, org.springframework.security.web.authentication.AnonymousAuthenticationFilter@5e7abaf7, org.springframework.security.web.session.SessionManagementFilter@681c0ae6, org.springframework.security.web.access.ExceptionTranslationFilter@15639d09, org.springframework.security.web.access.intercept.FilterSecurityInterceptor@4f7be6c8]|

Cors配置
該類別用於定義CORS規(guī)則。在這種情況下：

  • addAllowedOrigin("http://localhost:3000/")：允許來自 http://localhost:3000 的請求。當您的前端在不同連接埠上運行時，這對於本地開發(fā)非常有用。在生產(chǎn)中，將其替換為您的實際網(wǎng)域。
  • addAllowedMethod("*")：允許所有 HTTP 方法（例如 GET、POST、PUT、DELETE 等）。
  • addAllowedHeader("*")：允許請求中的所有 HTTP 標頭。

UrlBasedCorsConfigurationSource

  • 將 URL 模式（如 /**）對應(yīng)到特定 CORS 配置的類別。
  • registerCorsConfiguration("/", configuration)：將定義的 CORS 規(guī)則（配置）應(yīng)用於應(yīng)用程式中的所有端點 (/)。

哇，配置太多了！但這就是 Spring 框架的魔力——它處理幕後的所有繁重工作。

是時候配置客戶端了 

dependencies {
    implementation("org.springframework.boot:spring-boot-starter-oauth2-authorization-server")
    implementation("org.springframework.boot:spring-boot-starter-webflux")
    implementation("org.springframework.boot:spring-boot-starter-validation")
}

上面我們做了一些事情

  1. clientId：允許存取的唯一識別碼
  2. clientAuthenticationMethod ：定義驗證方法
  3. redirectUris 僅允許定義的 URL
  4. authorizationGrantTypes 授權(quán)代碼

用戶詳情服務(wù)

UserDetailsS??ervice 由 DaoAuthenticationProvider 用於擷取 使用者名稱、密碼以及其他用於使用使用者名稱和密碼進行驗證的屬性。 Spring Security 提供了 UserDetailsS??ervice 的記憶體、JDBC 和快取實作。

您可以透過將自訂 UserDetailsS??ervice 公開為 bean 來定義自訂驗證。

記憶體中使用者詳細資訊管理器 

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    private static final String[] ALLOW_LIST = {"/oauth2/token", "/userinfo"};
    //This is primarily configured to handle OAuth2 and OpenID Connect specific endpoints. It sets up the security for the authorization server, handling token endpoints, client authentication, etc.
    @Bean (1)
    @Order(1)
    public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
        OAuth2AuthorizationServerConfigurer authorizationServerConfigurer = OAuth2AuthorizationServerConfigurer.authorizationServer();
        http
                .cors(Customizer.withDefaults())
                .authorizeHttpRequests(authz -> authz
                        .requestMatchers(ALLOW_LIST).permitAll()
                        .requestMatchers("/**", "/oauth2/jwks/").hasAuthority("SCOPE_keys.write")
                        .anyRequest()
                        .authenticated())
                .securityMatchers(matchers ->
                        matchers.requestMatchers(antMatcher("/oauth2/**"), authorizationServerConfigurer.getEndpointsMatcher()))
                .with(authorizationServerConfigurer, (authorizationServer) ->
                        authorizationServer
                        .oidc(Customizer.withDefaults()))    // Enable OpenID Connect 1.0

                // Redirect to the login page when not authenticated from the
                // authorization endpoint
                .exceptionHandling((exceptions) -> exceptions
                        .defaultAuthenticationEntryPointFor(
                                new LoginUrlAuthenticationEntryPoint("/login"),
                                new MediaTypeRequestMatcher(MediaType.TEXT_HTML)
                        ))
                // Accept access tokens for User Info and/or Client Registration
                .oauth2ResourceServer((oauth2) -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }

    // This configuration is set up for general application security, handling standard web security features like form login for paths not specifically managed by the OAuth2 configuration.
    @Bean (2)
    @Order(2)
    public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http)
            throws Exception {
        http
                .authorizeHttpRequests((authorize) -> authorize
                        .requestMatchers("/login", "/error", "/main.css")
                        .permitAll()
                        .anyRequest()
                        .authenticated()
                )
                // Form login handles the redirect to the login page from the
                // authorization server filter chain
                .formLogin((login) -> login.loginPage("/login"));

        return http.build();
    }

    @Bean (3)
    public JWKSource<SecurityContext> jwkSource() {
        KeyPair keyPair = generateRsaKey();
        RSAPublicKey publicKey = (RSAPublicKey) keyPair.getPublic();
        RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate();
        RSAKey rsaKey = new RSAKey.Builder(publicKey)
                .privateKey(privateKey)
                .keyID(UUID.randomUUID().toString())
                .build();
        JWKSet jwkSet = new JWKSet(rsaKey);
        return new ImmutableJWKSet<>(jwkSet);
    }

    private static KeyPair generateRsaKey() {
        KeyPair keyPair;
        try {
            KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
            keyPairGenerator.initialize(2048);
            keyPair = keyPairGenerator.generateKeyPair();
        } catch (Exception ex) {
            throw new IllegalStateException(ex);
        }
        return keyPair;
    }


    @Bean (4)
    public JwtDecoder jwtDecoder(JWKSource<SecurityContext> jwkSource) {
        return OAuth2AuthorizationServerConfiguration.jwtDecoder(jwkSource);
    }

    @Bean (5)
    public AuthorizationServerSettings authorizationServerSettings() {
        return AuthorizationServerSettings
                .builder()
                .build();
    }

}

一旦我們啟動應(yīng)用程序，我們的 OIDC 和 OAuth2 設(shè)定與 Spring 授權(quán)伺服器應(yīng)該可以正常運作。但是，您會注意到我們使用了 InMemoryUserDetailsManager，它非常適合演示或原型設(shè)計。但對於生產(chǎn)環(huán)境，這是不可取的，因為應(yīng)用程式重新啟動後所有資料都會消失。

Spring Security 中的 JdbcUserDetailsManager

JdbcUserDetailsManager 是 Spring Security 中的一項功能，它使用 JDBC 透過連接到關(guān)聯(lián)式資料庫來處理使用者憑證和角色。當您的應(yīng)用程式可以使用 Spring Security 期望的使用者表的標準架構(gòu)時，這是理想的選擇。

可從 Spring security org/springframework/security/core/userdetails/jdbc/users.ddl
取得的架構(gòu) 

@Configuration
public class CorsConfig {

    @Bean
    public UrlBasedCorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.addAllowedOrigin("http://localhost:3000/"); // Change to specific domains in production
        configuration.addAllowedMethod("*");
        configuration.addAllowedHeader("*");
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

從 InMemoryUserDetailsManager 轉(zhuǎn)換到 JdbcUserDetailsManager 所需的唯一調(diào)整

2020-02-25 10:24:27.875  INFO 11116 --- [           main] o.s.s.web.DefaultSecurityFilterChain     : Creating filter chain: any request, [org.springframework.security.web.context.request.async.WebAsyncManagerIntegrationFilter@46320c9a, org.springframework.security.web.context.SecurityContextPersistenceFilter@4d98e41b, org.springframework.security.web.header.HeaderWriterFilter@52bd9a27, org.springframework.security.web.csrf.CsrfFilter@51c65a43, org.springframework.security.web.authentication.logout.LogoutFilter@124d26ba, org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter@61e86192, org.springframework.security.web.authentication.ui.DefaultLoginPageGeneratingFilter@10980560, org.springframework.security.web.authentication.ui.DefaultLogoutPageGeneratingFilter@32256e68, org.springframework.security.web.authentication.www.BasicAuthenticationFilter@52d0f583, org.springframework.security.web.savedrequest.RequestCacheAwareFilter@5696c927, org.springframework.security.web.servletapi.SecurityContextHolderAwareRequestFilter@5f025000, org.springframework.security.web.authentication.AnonymousAuthenticationFilter@5e7abaf7, org.springframework.security.web.session.SessionManagementFilter@681c0ae6, org.springframework.security.web.access.ExceptionTranslationFilter@15639d09, org.springframework.security.web.access.intercept.FilterSecurityInterceptor@4f7be6c8]|

此配置對於堅持 Spring Security 標準表模式的應(yīng)用程式有效。但是，如果您需要自訂（例如使用電子郵件而不是使用者名稱登入），則實作自訂 UserDetailsS??ervice 可提供必要的適應(yīng)性。

帶有客戶實體的自訂 UserDetailservice

讓我們在提供者中新增自訂 CustomUserDetails??ervice。在 AuthenticationProvider 中使用 setUserDetailsS??ervice
設(shè)定自訂服務(wù) 

dependencies {
    implementation("org.springframework.boot:spring-boot-starter-oauth2-authorization-server")
    implementation("org.springframework.boot:spring-boot-starter-webflux")
    implementation("org.springframework.boot:spring-boot-starter-validation")
}

客製化服務(wù)

@Configuration
@EnableWebSecurity
public class SecurityConfig {
    private static final String[] ALLOW_LIST = {"/oauth2/token", "/userinfo"};
    //This is primarily configured to handle OAuth2 and OpenID Connect specific endpoints. It sets up the security for the authorization server, handling token endpoints, client authentication, etc.
    @Bean (1)
    @Order(1)
    public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
        OAuth2AuthorizationServerConfigurer authorizationServerConfigurer = OAuth2AuthorizationServerConfigurer.authorizationServer();
        http
                .cors(Customizer.withDefaults())
                .authorizeHttpRequests(authz -> authz
                        .requestMatchers(ALLOW_LIST).permitAll()
                        .requestMatchers("/**", "/oauth2/jwks/").hasAuthority("SCOPE_keys.write")
                        .anyRequest()
                        .authenticated())
                .securityMatchers(matchers ->
                        matchers.requestMatchers(antMatcher("/oauth2/**"), authorizationServerConfigurer.getEndpointsMatcher()))
                .with(authorizationServerConfigurer, (authorizationServer) ->
                        authorizationServer
                        .oidc(Customizer.withDefaults()))    // Enable OpenID Connect 1.0

                // Redirect to the login page when not authenticated from the
                // authorization endpoint
                .exceptionHandling((exceptions) -> exceptions
                        .defaultAuthenticationEntryPointFor(
                                new LoginUrlAuthenticationEntryPoint("/login"),
                                new MediaTypeRequestMatcher(MediaType.TEXT_HTML)
                        ))
                // Accept access tokens for User Info and/or Client Registration
                .oauth2ResourceServer((oauth2) -> oauth2.jwt(Customizer.withDefaults()));
        return http.build();
    }

    // This configuration is set up for general application security, handling standard web security features like form login for paths not specifically managed by the OAuth2 configuration.
    @Bean (2)
    @Order(2)
    public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http)
            throws Exception {
        http
                .authorizeHttpRequests((authorize) -> authorize
                        .requestMatchers("/login", "/error", "/main.css")
                        .permitAll()
                        .anyRequest()
                        .authenticated()
                )
                // Form login handles the redirect to the login page from the
                // authorization server filter chain
                .formLogin((login) -> login.loginPage("/login"));

        return http.build();
    }

    @Bean (3)
    public JWKSource<SecurityContext> jwkSource() {
        KeyPair keyPair = generateRsaKey();
        RSAPublicKey publicKey = (RSAPublicKey) keyPair.getPublic();
        RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate();
        RSAKey rsaKey = new RSAKey.Builder(publicKey)
                .privateKey(privateKey)
                .keyID(UUID.randomUUID().toString())
                .build();
        JWKSet jwkSet = new JWKSet(rsaKey);
        return new ImmutableJWKSet<>(jwkSet);
    }

    private static KeyPair generateRsaKey() {
        KeyPair keyPair;
        try {
            KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
            keyPairGenerator.initialize(2048);
            keyPair = keyPairGenerator.generateKeyPair();
        } catch (Exception ex) {
            throw new IllegalStateException(ex);
        }
        return keyPair;
    }


    @Bean (4)
    public JwtDecoder jwtDecoder(JWKSource<SecurityContext> jwkSource) {
        return OAuth2AuthorizationServerConfiguration.jwtDecoder(jwkSource);
    }

    @Bean (5)
    public AuthorizationServerSettings authorizationServerSettings() {
        return AuthorizationServerSettings
                .builder()
                .build();
    }

}

儲存庫

@Configuration
public class CorsConfig {

    @Bean
    public UrlBasedCorsConfigurationSource corsConfigurationSource() {
        CorsConfiguration configuration = new CorsConfiguration();
        configuration.addAllowedOrigin("http://localhost:3000/"); // Change to specific domains in production
        configuration.addAllowedMethod("*");
        configuration.addAllowedHeader("*");
        UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
        source.registerCorsConfiguration("/**", configuration);
        return source;
    }
}

實體

@Configuration
public class Clients {
    @Bean
    public RegisteredClientRepository registeredClientRepository() {
        RegisteredClient oidcClient = RegisteredClient.withId(UUID.randomUUID().toString())
                .clientId("stomble")
                .clientAuthenticationMethod(ClientAuthenticationMethod.NONE)
                .authorizationGrantTypes(types -> {
                    types.add(AuthorizationGrantType.AUTHORIZATION_CODE);
                    types.add(AuthorizationGrantType.REFRESH_TOKEN);
                })
                .redirectUris(redirectUri -> {
                    redirectUri.add("http://localhost:3000");
                    redirectUri.add("https://oauth.pstmn.io/v1/callback");
                    redirectUri.add("http://localhost:3000/signin-callback");
                })
                .postLogoutRedirectUri("http://localhost:3000")
                .scopes(score -> {
                    score.add(OidcScopes.OPENID);
                    score.add(OidcScopes.PROFILE);
                    score.add(OidcScopes.EMAIL);
                })
                .clientSettings(ClientSettings.builder()
                        .requireAuthorizationConsent(false)
                        .requireProofKey(true)
                        .build())
                .build();
        return new InMemoryRegisteredClientRepository(oidcClient);
    }
}

在安全過濾器中，我們必須告訴 spring security 使用此服務(wù)

.clientAuthentication(clientAuth -> clientAuth.authenticationProvider(authenticationProvider))

@Configuration
public class UserConfig {

    @Bean
    public UserDetailsService userDetailsService(PasswordEncoder passwordEncoder) {
        UserDetails userDetailFirst = User.builder()
                .username("user1")
                .password(passwordEncoder.encode("password"))
                .roles("USER")
                .build();
        UserDetails userDetailSecond = User.builder()
                .username("user2")
                .password(passwordEncoder.encode("password"))
                .roles("USER")
                .build();
        return new InMemoryUserDetailsManager(List.of(userDetailFirst, userDetailSecond));
    }
}

@Bean
public PasswordEncoder passwordEncoder() {
   return new BCryptPasswordEncoder();
}

結(jié)論

在這裡，您有兩個強大的選擇來處理身份驗證：

  • JdbcUserDetailsManager：如果您的應(yīng)用程式與 Spring 的預(yù)設(shè)架構(gòu)一致，這是一個簡單的選項。
  • 自訂 UserDetailsS??ervice：提供管理特殊欄位和角色的彈性。

無論您選擇 JdbcUserDetailsManager 或決定實作自訂 UserDetailsS??ervice，兩者都將為您的應(yīng)用程式配備可擴充的、資料庫支援的驗證系統(tǒng)。

以上是Spring 授權(quán)伺服器 spring security 具有自訂使用者詳細資訊服務(wù)，用於靈活的資料驅(qū)動身份驗證的詳細內(nèi)容。更多資訊請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！

本網(wǎng)站聲明
本文內(nèi)容由網(wǎng)友自願投稿，版權(quán)歸原作者所有。本站不承擔相應(yīng)的法律責任。如發(fā)現(xiàn)涉嫌抄襲或侵權(quán)的內(nèi)容，請聯(lián)絡(luò)admin@php.cn

熱AI工具

Undress AI Tool

Undress AI Tool

免費脫衣圖片

Undresser.AI Undress

Undresser.AI Undress

人工智慧驅(qū)動的應(yīng)用程序，用於創(chuàng)建逼真的裸體照片

AI Clothes Remover

AI Clothes Remover

用於從照片中去除衣服的線上人工智慧工具。

Clothoff.io

Clothoff.io

AI脫衣器

Video Face Swap

Video Face Swap

使用我們完全免費的人工智慧換臉工具，輕鬆在任何影片中換臉！

熱工具

記事本++7.3.1

記事本++7.3.1

好用且免費的程式碼編輯器

SublimeText3漢化版

SublimeText3漢化版

中文版，非常好用

禪工作室 13.0.1

禪工作室 13.0.1

強大的PHP整合開發(fā)環(huán)境

Dreamweaver CS6

Dreamweaver CS6

視覺化網(wǎng)頁開發(fā)工具

SublimeText3 Mac版

SublimeText3 Mac版

神級程式碼編輯軟體(SublimeText3)

hashmap和hashtable之間的區(qū)別？ hashmap和hashtable之間的區(qū)別？ Jun 24, 2025 pm 09:41 PM

HashMap與Hashtable的區(qū)別主要體現(xiàn)在線程安全、null值支持及性能方面。 1.線程安全方面，Hashtable是線程安全的，其方法大多為同步方法，而HashMap不做同步處理，非線程安全；2.null值支持上，HashMap允許一個null鍵和多個null值，Hashtable則不允許null鍵或值，否則拋出NullPointerException；3.性能方面，HashMap因無同步機制效率更高，Hashtable因每次操作加鎖性能較低，推薦使用ConcurrentHashMap替

為什麼我們需要包裝紙課？ 為什麼我們需要包裝紙課？ Jun 28, 2025 am 01:01 AM

Java使用包裝類是因為基本數(shù)據(jù)類型無法直接參與面向?qū)ο癫僮鳎鴮嶋H需求中常需對象形式；1.集合類只能存儲對象，如List利用自動裝箱存儲數(shù)值；2.泛型不支持基本類型，必須使用包裝類作為類型參數(shù)；3.包裝類可表示null值，用於區(qū)分未設(shè)置或缺失的數(shù)據(jù)；4.包裝類提供字符串轉(zhuǎn)換等實用方法，便於數(shù)據(jù)解析與處理，因此在需要這些特性的場景下，包裝類不可或缺。

什麼是接口中的靜態(tài)方法？ 什麼是接口中的靜態(tài)方法？ Jun 24, 2025 pm 10:57 PM

StaticmethodsininterfaceswereintroducedinJava8toallowutilityfunctionswithintheinterfaceitself.BeforeJava8,suchfunctionsrequiredseparatehelperclasses,leadingtodisorganizedcode.Now,staticmethodsprovidethreekeybenefits:1)theyenableutilitymethodsdirectly

JIT編譯器如何優(yōu)化代碼？ JIT編譯器如何優(yōu)化代碼？ Jun 24, 2025 pm 10:45 PM

JIT編譯器通過方法內(nèi)聯(lián)、熱點檢測與編譯、類型推測與去虛擬化、冗餘操作消除四種方式優(yōu)化代碼。 1.方法內(nèi)聯(lián)減少調(diào)用開銷，將頻繁調(diào)用的小方法直接插入調(diào)用處；2.熱點檢測識別高頻執(zhí)行代碼並集中優(yōu)化，節(jié)省資源；3.類型推測收集運行時類型信息實現(xiàn)去虛擬化調(diào)用，提升效率；4.冗餘操作消除根據(jù)運行數(shù)據(jù)刪除無用計算和檢查，增強性能。

什麼是實例初始器塊？ 什麼是實例初始器塊？ Jun 25, 2025 pm 12:21 PM

實例初始化塊在Java中用於在創(chuàng)建對象時運行初始化邏輯，其執(zhí)行先於構(gòu)造函數(shù)。它適用於多個構(gòu)造函數(shù)共享初始化代碼、複雜字段初始化或匿名類初始化場景，與靜態(tài)初始化塊不同的是它每次實例化時都會執(zhí)行，而靜態(tài)初始化塊僅在類加載時運行一次。

變量的最終關(guān)鍵字是什麼？ 變量的最終關(guān)鍵字是什麼？ Jun 24, 2025 pm 07:29 PM

InJava,thefinalkeywordpreventsavariable’svaluefrombeingchangedafterassignment,butitsbehaviordiffersforprimitivesandobjectreferences.Forprimitivevariables,finalmakesthevalueconstant,asinfinalintMAX_SPEED=100;wherereassignmentcausesanerror.Forobjectref

什麼是工廠模式？ 什麼是工廠模式？ Jun 24, 2025 pm 11:29 PM

工廠模式用於封裝對象創(chuàng)建邏輯，使代碼更靈活、易維護、松耦合。其核心答案是：通過集中管理對象創(chuàng)建邏輯，隱藏實現(xiàn)細節(jié)，支持多種相關(guān)對象的創(chuàng)建。具體描述如下：工廠模式將對象創(chuàng)建交給專門的工廠類或方法處理，避免直接使用newClass()；適用於多類型相關(guān)對象創(chuàng)建、創(chuàng)建邏輯可能變化、需隱藏實現(xiàn)細節(jié)的場景；例如支付處理器中通過工廠統(tǒng)一創(chuàng)建Stripe、PayPal等實例；其實現(xiàn)包括工廠類根據(jù)輸入?yún)?shù)決定返回的對象，所有對象實現(xiàn)共同接口；常見變體有簡單工廠、工廠方法和抽象工廠，分別適用於不同複雜度的需求。

什麼是類型鑄造？ 什麼是類型鑄造？ Jun 24, 2025 pm 11:09 PM

類型轉(zhuǎn)換有兩種：隱式和顯式。 1.隱式轉(zhuǎn)換自動發(fā)生，如將int轉(zhuǎn)為double；2.顯式轉(zhuǎn)換需手動操作，如使用(int)myDouble。需要類型轉(zhuǎn)換的情況包括處理用戶輸入、數(shù)學(xué)運算或函數(shù)間傳遞不同類型的值時。需要注意的問題有：浮點數(shù)轉(zhuǎn)整數(shù)會截斷小數(shù)部分、大類型轉(zhuǎn)小類型可能導(dǎo)致數(shù)據(jù)丟失、某些語言不允許直接轉(zhuǎn)換特定類型。正確理解語言的轉(zhuǎn)換規(guī)則有助於避免錯誤。

See all articles