1. 簡介在本教程中，我們將準備一個動態客户端註冊，使用OAuth2.0。OAuth2.0是一個授權框架，它允許獲取用户在HTTP服務上的有限訪問權限。OAuth2.0客户端是希望訪問用户賬户的應用程序。該客户端可以是外部Web應用程序、用户代理或原生客户端。

為了實現動態客户端註冊，我們將存儲憑據到數據庫，而不是硬編碼配置。我們即將擴展的應用程序最初描述在Spring REST API + OAuth2教程中。

注意：本文使用Spring OAuth 遺留項目。

2. Maven 依賴項

我們首先將設置以下依賴項：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>    
<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-jdbc</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.security.oauth</groupId>
    <artifactId>spring-security-oauth2</artifactId>
</dependency>

請注意，我們使用 spring-jdbc，因為我們將使用數據庫來存儲新註冊用户的密碼。

3. OAuth2.0 服務器配置

首先，我們需要配置我們的 OAuth2.0 授權服務器。主要的配置位於以下類中：

@Configuration
@PropertySource({ "classpath:persistence.properties" })
@EnableAuthorizationServer
public class OAuth2AuthorizationServerConfig
  extends AuthorizationServerConfigurerAdapter {
    
    // config
}

我們需要配置一些主要事項，我們先從 ClientDetailsServiceConfigurer 開始：

@Override
public void configure(final ClientDetailsServiceConfigurer clients) throws Exception {
    clients.jdbc(dataSource())
    
    // ...
}

這將會確保我們使用持久化來獲取客户端信息。

當然，我們還需要設置這個標準數據源：

@Bean
public DataSource dataSource() {
    DriverManagerDataSource dataSource = new DriverManagerDataSource();

    dataSource.setDriverClassName(env.getProperty("jdbc.driverClassName"));
    dataSource.setUrl(env.getProperty("jdbc.url"));
    dataSource.setUsername(env.getProperty("jdbc.user"));
    dataSource.setPassword(env.getProperty("jdbc.pass"));
    return dataSource;
}

因此，我們的應用程序將使用數據庫作為註冊客户端的來源，而不是典型的硬編碼的內存客户端。

4. 數據庫方案

現在我們定義用於存儲 OAuth 客户端的 SQL 結構:

create table oauth_client_details (
    client_id VARCHAR(256) PRIMARY KEY,
    resource_ids VARCHAR(256),
    client_secret VARCHAR(256),
    scope VARCHAR(256),
    authorized_grant_types VARCHAR(256),
    web_server_redirect_uri VARCHAR(256),
    authorities VARCHAR(256),
    access_token_validity INTEGER,
    refresh_token_validity INTEGER,
    additional_information VARCHAR(4096),
    autoapprove VARCHAR(256)
);

我們應該重點關注 oauth_client_details 中最重要的字段是:

• client_id – 用於存儲新註冊客户端的 ID
• client_secret – 用於存儲客户端的密碼
• access_token_validity – 指示客户端是否仍然有效
• authorities – 用於指示特定客户端允許的權限
• scope – 允許的操作，例如在 Facebook 上寫入狀態等
• authorized_grant_types, 提供用户如何登錄到特定客户端的信息（在本例中是密碼形式登錄）

@Test
public void givenDBUser_whenRevokeToken_thenAuthorized() {
    String accessToken = obtainAccessToken("fooClientIdPassword", "john", "123");
    
    assertNotNull(accessToken);
}

private String obtainAccessToken(String clientId, String username, String password) {
    Map<String, String> params = new HashMap<String, String>();
    params.put("grant_type", "password");
    params.put("client_id", clientId);
    params.put("username", username);
    params.put("password", password);
    Response response = RestAssured.given().auth().preemptive()
      .basic(clientId, "secret").and().with().params(params).when()
      .post("http://localhost:8081/spring-security-oauth-server/oauth/token");
    return response.jsonPath().getString("access_token");
}