准备工作

首先需要实现UserDetailsService接口，完成用户的加载；注意这里的密码需要加密，如果数据库是明文则需要加密以后设置进去

再者需要实现一个UserDetails接口，在里面完成用户信息的对外输出；

再者需要实现一个GrantedAuthority接口，在里面完成用户权限的对外输出；

创建一个@bean返回PasswordEncode的加解密实现类，推荐使用现成的BCryptPasswordEncoder,也可以自己实现PasswordEncoder接口自定义加密算法

创建一个类继承WebSecurityConfigurerAdapter
重写覆盖他的configure（HttpSecurity http）方法进行Security相关的配置

@Configuration
@EnableWebSecurity // 启动WebSecurity[可以写在配置类]
public class SecurityConfig extends WebSecurityConfigurerAdapter {@Overrideprotected void configure(HttpSecurity http) throws Exception {http.csrf().disable()  // 为了测试暂时关闭.authorizeRequests().antMatchers("/oauth/**","/login/**","/logout/**")  // 创建匹配规则.permitAll() // 对上面描述的匹配规则进行放行.anyRequest().authenticated() // 切换到任何请求，设置都要进行认证之后才能访问.and().formLogin().permitAll(); // And 对表单认证进行放行}
}

---

针对资源和认证服务器分别进行不同的配置

授权服务器配置

创建类继承AuthorizationServerConfigurerAdapter重写configure(ClientDetailsServiceConfigurer clients)方法
配置授权服务器，完成合作商户授权信息的加载，资源允许权限，授权方式，回调地址

/*** 授权服务器配置* @author Guochao*/
@Configuration
@EnableAuthorizationServer // 启用授权服务器
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {@Autowiredprivate PasswordEncoder passwordEncoder;// 配置客户端@Overridepublic void configure(ClientDetailsServiceConfigurer clients) throws Exception {// 加载合作伙伴应用的信息// TODO 正式环境使用这个，现在方便测试使用基于内存的配置 clients.jdbc(),账号密码数据也可以查数据库clients.inMemory().withClient("pzh") // clientId,客户端id.secret(passwordEncoder.encode("123456"))  // 客户端密码,可以使用加密// 重定向的地址,用户同意授权以后会携带授权码请求回调地址,从而获取授权码.redirectUris("https://www.baodu.com")  .scopes("all","userinfo","resource")  // 授权允许的范围.authorizedGrantTypes("authorization_code") // 授权类型,这里选择授权码模式.autoApprove("all","userinfo") // 自动授权 // 设置自动授权以后，请求授权以内的权限，直接完成授权，授权之外的依然会跳转到用户同意界面，// 如果不设置scope,或者输入多个scope时其中一个不包含自动授权就会出现全部可选scope// .autoApprove(true) // 绝对自动授权，不需要写入具体的允许自动授权的scope，全部scope允许自动授权}
}

资源服务器配置

@Configuration
@EnableResourceServer  // 启用资源服务
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {@Overridepublic void configure(HttpSecurity http) throws Exception {http.authorizeRequests()// 配置带资源域限制的资源信息.antMatchers("/userinfo/**").access("#oauth2.hasAnyScope('userinfo','all')").and()// 匹配资源,对上面的资源进行匹配地址，配置在里面的资源将受到保护，必须全部认证才能访问.requestMatchers().antMatchers("/resource/**")// 上面配置了这个资源的访问权限。这里依然需要配置保护.antMatchers("/userinfo/**").and()// 指定任何请求，设r任何请求都需要授权以后才能访问.authorizeRequests().anyRequest().authenticated().and().csrf();}
}

接下来我们就进行授权码模式的测试：

首先是获取授权码

合作商客户端id=pzh,
回调地址=www.baidu.com
响应模式=code
资源域=all
获取授权码
http://localhost:9999/oauth/authorize?response_type=code&client_id=pzh&redirect_uri=https://www.baidu.com&scope=all
申请多个授权时使用空格间隔每个scope授权
http://localhost:9999/oauth/authorize?response_type=code&client_id=pzh&redirect_uri=https://www.baidu.com&scope=all userinfo&state=iuza79Mlap
经过测试发现可以简化：
http://localhost:12301/oauth/authorize?response_type=code&client_id=pzh这样不指定scpe就会列出所有允许的scop给用户选择,选项取决于商户的注册信息

用户同意以后就会重定向到商户设置好的回调地址中，并且设附带code授权码，如果我们同时添加了state参数，返回授权码的时候也会一并返回，可以利用state作为一致性验证，预防scrf攻击

用授权码换取access_token

所有信息必须和注册商户填写的一致
code=授权码
grant_type=认证模式
redirect_uri=回调地址
client_id=客户端id，
同时需要使用客户端id和客户端密码使用basic auth模式进行登录
登录完成以后就能获取到accesstoken

{"access_token": "8d1a8b93-f963-4f5c-8cc1-267f099cbbd1","token_type": "bearer","expires_in": 42645,"scope": "all"
}

使用access_token读取用户资源

http://localhost:9999/oauth/token?code=7BxIn2&grant_type=authorization_code&redirect_uri=https://www.baidu.com&scope=all&client_id=pzh

样例

基本依赖

   <parent><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-parent</artifactId><version>2.3.5.RELEASE</version></parent><properties><spring.cloud-version>Hoxton.SR8</spring.cloud-version></properties><dependencyManagement><dependencies><dependency><groupId>org.springframework.cloud</groupId><artifactId>spring-cloud-dependencies</artifactId><version>${spring.cloud-version}</version><type>pom</type><scope>import</scope></dependency></dependencies></dependencyManagement><dependencies><!--System--><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependency><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-test</artifactId><version>2.3.3.RELEASE</version><scope>test</scope><exclusions><exclusion><groupId>org.junit.vintage</groupId><artifactId>junit-vintage-engine</artifactId></exclusion></exclusions></dependency><dependency><groupId>org.springframework.cloud</groupId><artifactId>spring-cloud-starter-security</artifactId></dependency><dependency><groupId>org.springframework.cloud</groupId><artifactId>spring-cloud-starter-oauth2</artifactId></dependency><!--Tool--><dependency><groupId>org.apache.commons</groupId><artifactId>commons-lang3</artifactId><version>3.8.1</version></dependency><dependency><groupId>org.projectlombok</groupId><artifactId>lombok</artifactId><version>1.18.22</version><scope>provided</scope></dependency><dependency><groupId>com.alibaba</groupId><artifactId>fastjson</artifactId><version>1.2.75</version></dependency><dependency><groupId>cn.hutool</groupId><artifactId>hutool-core</artifactId><version>5.7.9</version></dependency><dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.0</version></dependency></dependencies><build><plugins><plugin><groupId>org.springframework.boot</groupId><artifactId>spring-boot-maven-plugin</artifactId><version>2.3.3.RELEASE</version></plugin></plugins></build>

UserDetails 样例

// 用于给框架提取用户信息用的类，负责向框架提供基本的属性获取方法；
@Data
public class UserDetail implements UserDetails {private String password;private String username;private List<GrantedAuthority> auth;@Overridepublic Collection<? extends GrantedAuthority> getAuthorities() {return this.auth;}@Overridepublic String getPassword() {return this.password;}@Overridepublic String getUsername() {return this.username;}@Overridepublic boolean isAccountNonExpired() {return true;}@Overridepublic boolean isAccountNonLocked() {return true;}@Overridepublic boolean isCredentialsNonExpired() {return true;}@Overridepublic boolean isEnabled() {return true;}public UserDetail() {}public UserDetail(String password, String username, List<GrantedAuthority> auth) {this.password = password;this.username = username;this.auth = auth;}// 提供一个字符串转换数组的方法方便调用public UserDetail(String password, String username, String auth) {this.password = password;this.username = username;List<String> strAuths = Arrays.asList(auth.split(","));this.auth=strAuths.size()==0?new ArrayList<>():strAuths.stream().map(MyGrantedAuthority::new).collect(Collectors.toList());}
}

loadUsername样例

/*** 用户的加载*/
@Service
public class UserLoad implements UserDetailsService {@Autowiredprivate UserService userService;@Autowiredprivate PasswordEncoder passwordEncoder;// 加载用户，密码加密@Overridepublic UserDetails loadUserByUsername(String name) throws UsernameNotFoundException {User user = userService.getUser(name);return new UserDetail(passwordEncoder.encode(user.getPwd()), user.getName(), user.getAuth());}
}

别人的security配置样例

@Configuration
@EnableWebSecurity
public class SpringSecurityConfig extends WebSecurityConfigurerAdapter {
​@Overrideprotected void configure(HttpSecurity http) throws Exception {//authorizeRequests表示开始说明需要的权限http.httpBasic().and().formLogin().loginPage("/login.html").defaultSuccessUrl("/admin/index.html").loginProcessingUrl("/login").failureUrl("/error.html").and().logout().logoutSuccessUrl("/login.html").and().authorizeRequests().antMatchers("/login.html").permitAll().antMatchers("/error.html").permitAll().antMatchers("/css/**").permitAll().antMatchers("/js/**").permitAll().antMatchers("/img/**").permitAll().antMatchers("/plugins/**").permitAll().and().authorizeRequests().antMatchers("/**").hasRole("USER").anyRequest().authenticated().and().csrf().disable();http.headers().frameOptions().sameOrigin();}
​
}

别人的认证服务器配置

    @Overridepublic void configure(ClientDetailsServiceConfigurer clients) throws Exception {// 配置客户端clients// 使用内存设置.inMemory()// client_id.withClient("client")// client_secret.secret(passwordEncoder.encode("secret"))// 授权类型: 授权码、刷新令牌、密码、客户端、简化模式、短信验证码 "refresh_token".authorizedGrantTypes("authorization_code", "password", "client_credentials", "implicit", "sms_code")// 授权范围，也可根据这个范围标识，进行鉴权.scopes("admin:org","write:org","read:org").accessTokenValiditySeconds(300).refreshTokenValiditySeconds(3000)// 授权码模式 授权页面是否自动授权//.autoApprove(false)// 拥有的权限.authorities("add:user")// 允许访问的资源服务 ID//.resourceIds("oauth2-resource-server001-demo")// 注册回调地址.redirectUris("http://localhost:20000/code");}
https://blog.csdn.net/qq_43437874/article/details/121552989