1. 概述

Spring Security 5 引入了一個新的 OAuth2LoginConfigurer 類，我們可以用於配置外部授權服務器。

在本教程中，我們將探索 oauth2Login() 元素中可用的各種配置選項。

2. Maven 依賴

在 Spring Boot 項目中，我們只需要添加 starter spring-boot-starter-oauth2-client

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
    <version>2.3.3.RELEASE</version>
</dependency>

在非 Boot 項目中，除了標準 Spring 和 Spring Security 依賴，我們還需要顯式添加 spring-security-oauth2-client

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-oauth2-client</artifactId>
    <version>5.3.4.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-oauth2-jose</artifactId>
    <version>5.3.4.RELEASE</version>
</dependency>

3. 客户端設置

在 Spring Boot 項目中，我們需要為每個客户端添加幾個標準屬性。

設置我們的項目以使用 Google 和 Facebook 作為身份提供程序的登錄，註冊為客户端。

3.1. 獲取客户端憑據

要獲取 Google OAuth2 身份驗證的客户端憑據，請轉到 Google API 控制枱 的“憑據”部分。

在這裏，我們將為我們的 Web 應用程序創建一個類型為“OAuth2 客户端 ID”的憑據。這會使 Google 為我們設置客户端 ID 和密鑰。

我們還需要在 Google 控制枱中配置一個授權重定向 URI，這是用户成功使用 Google 登錄後將重定向到的路徑。

默認情況下，Spring Boot 將此重定向 URI 配置為 /login/oauth2/code/{registrationId}。

因此，對於 Google，我們將添加此 URI：

http://localhost:8081/login/oauth2/code/google

要獲取使用 Facebook 進行身份驗證的客户端憑據，我們需要在 Facebook for Developers 網站上註冊一個應用程序，並將其相應的 URI 設置為“有效 OAuth 重定向 URI”：

http://localhost:8081/login/oauth2/code/facebook

3.2. 安全配置

接下來，我們需要將客户端憑據添加到 application.properties 文件中。

Spring Security 屬性以 spring.security.oauth2.client.registration 開頭，後跟客户端名稱和客户端屬性的名稱。

spring.security.oauth2.client.registration.google.client-id=<your client id>
spring.security.oauth2.client.registration.google.client-secret=<your client secret>

spring.security.oauth2.client.registration.facebook.client-id=<your client id> 
spring.security.oauth2.client.registration.facebook.client-secret=<your client secret>

添加至少一個客户端的這些屬性將啓用 Oauth2ClientAutoConfiguration 類，該類設置所有必需的 Bean。

自動 Web 安全配置等效於定義一個簡單的 oauth2Login() 元素。

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.authorizeRequests()
         .anyRequest().authenticated()
         .and()
         .oauth2Login();
        return http.build();
    }
}

在這裏，我們可以看到 oauth2Login() 元素的使用方式類似於已知的 httpBasic() 和 formLogin() 元素。

現在，當我們嘗試訪問受保護的 URL 時，應用程序將顯示一個自動生成的登錄頁面，其中包含兩個客户端。

3.3. 其他客户端

請注意，Spring Security 項目還包含 Google 和 Facebook 的默認配置，以及 GitHub 和 Okta 的默認配置。 這些默認配置提供了所有必需的信息，從而使我們只需輸入客户端憑據即可。

如果我們要使用 Spring Security 中未配置的另一個身份提供者，則需要定義完整的配置，包括授權 URI 和令牌 URI。 這裏是 Spring Security 的默認配置，以便了解所需的屬性。

4. Setup in a Non-Boot Project

4.1. Creating a ClientRegistrationRepository Bean

If we’re not working with a Spring Boot application, we’ll need to define a ClientRegistrationRepository bean that contains an internal representation of the client information owned by the authorization server:

@Configuration
@EnableWebSecurity
@PropertySource("classpath:application.properties")
public class SecurityConfig {
    private static List<String> clients = Arrays.asList("google", "facebook");

    @Bean
    public ClientRegistrationRepository clientRegistrationRepository() {
        List<ClientRegistration> registrations = clients.stream()
          .map(c -> getRegistration(c))
          .filter(registration -> registration != null)
          .collect(Collectors.toList());
        
        return new InMemoryClientRegistrationRepository(registrations);
    }
}

Here we’re creating an InMemoryClientRegistrationRepository with a list of ClientRegistration objects.

4.2. Building ClientRegistration Objects

Let’s see the getRegistration() method that builds these objects:

private static String CLIENT_PROPERTY_KEY 
  = "spring.security.oauth2.client.registration.";

@Autowired
private Environment env;

private ClientRegistration getRegistration(String client) {
    String clientId = env.getProperty(
      CLIENT_PROPERTY_KEY + client + ".client-id");

    if (clientId == null) {
        return null;
    }

    String clientSecret = env.getProperty(
      CLIENT_PROPERTY_KEY + client + ".client-secret");
 
    if (client.equals("google")) {
        return CommonOAuth2Provider.GOOGLE.getBuilder(client)
          .clientId(clientId).clientSecret(clientSecret).build();
    }
    if (client.equals("facebook")) {
        return CommonOAuth2Provider.FACEBOOK.getBuilder(client)
          .clientId(clientId).clientSecret(clientSecret).build();
    }
    return null;
}

Here we’re reading the client credentials from a similar application.properties file. Then we use the CommonOauth2Provider enum already defined in Spring Security for the rest of the client properties for Google and Facebook clients.

Each ClientRegistration instance corresponds to a client.

4.3. Registering the ClientRegistrationRepository

Finally, we have to create an OAuth2AuthorizedClientService bean based on the ClientRegistrationRepository bean and register both with the oauth2Login() element:

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http.authorizeRequests().anyRequest().authenticated()
      .and()
      .oauth2Login()
      .clientRegistrationRepository(clientRegistrationRepository())
      .authorizedClientService(authorizedClientService());
    return http.build();
}

@Bean
public OAuth2AuthorizedClientService authorizedClientService() {
 
    return new InMemoryOAuth2AuthorizedClientService(
      clientRegistrationRepository());
}

As we can see, we can use the clientRegistrationRepository() method of oauth2Login() to register a custom registration repository.

We’ll also have to define a custom login page, as it won’t be automatically generated anymore. We’ll see more information on this in the next section.

Let’s continue with further customization of our login process.

5. Customizing oauth2Login()

有幾個元素被 OAuth 2 過程使用，我們可以使用 oauth2Login() 方法來定製它們。

請注意，所有這些元素都有默認配置，並且不需要顯式配置。

讓我們看看我們如何使用配置來定製它們。

5.1. Custom Login Page

雖然 Spring Boot 為我們生成了一個默認登錄頁面，但我們通常會定義自己的定製頁面。

讓我們使用 loginPage() 方法來配置新的登錄 URL，用於 oauth2Login() 元素：

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    http.authorizeRequests()
      .antMatchers("/oauth_login")
      .permitAll()
      .anyRequest()
      .authenticated()
      .and()
      .oauth2Login()
      .loginPage("/oauth_login");
    return http.build();
}

在這裏，我們設置了登錄 URL 為 /oauth_login。

接下來，讓我們定義一個使用 URL 的 LoginController：

@Controller
public class LoginController {

    private static String authorizationRequestBaseUri
      = "oauth2/authorization";
    Map<String, String> oauth2AuthenticationUrls
      = new HashMap<>();

    @Autowired
    private ClientRegistrationRepository clientRegistrationRepository;

    @GetMapping("/oauth_login")
    public String getLoginPage(Model model) {
        // ...

        return "oauth_login";
    }
}

此方法必須將客户端可用映射和授權端點映射到視圖，我們從 ClientRegistrationRepository 豆中獲取。

public String getLoginPage(Model model) {
    Iterable<ClientRegistration> clientRegistrations = null;
    ResolvableType type = ResolvableType.forInstance(clientRegistrationRepository)
      .as(Iterable.class);
    if (type != ResolvableType.NONE &&
      ClientRegistration.class.isAssignableFrom(type.resolveGenerics()[0])) {
        clientRegistrations = (Iterable<ClientRegistration>) clientRegistrationRepository;
    }

    clientRegistrations.forEach(registration ->
      oauth2AuthenticationUrls.put(registration.getClientName(),
      authorizationRequestBaseUri + "/" + registration.getRegistrationId()));
    model.addAttribute("urls", oauth2AuthenticationUrls);

    return "oauth_login";
}

最後，我們需要定義我們的 oauth_login.html 頁面：

<h3>Login with:</h3>
<p th:each="url : ${urls}">
    <a th:text="${url.key}" th:href="${url.value}">Client</a>
</p>

這是一個簡單的 HTML 頁面，用於顯示與每個客户端進行身份驗證的鏈接。

在添加一些樣式後，我們可以更改登錄頁面的外觀：

5.2. Custom Authentication Success and Failure Behavior

我們可以使用不同的方法來控制後身份驗證行為：

• defaultSuccessUrl() 和 failureUrl() 用於將用户重定向到指定的 URL
• successHandler() 和 failureHandler() 用於在身份驗證過程中運行自定義邏輯

讓我們看看如何設置自定義 URL 以將用户重定向到：

.oauth2Login()
  .defaultSuccessUrl("/loginSuccess")
  .failureUrl("/loginFailure");

如果用户訪問了在身份驗證之前就已訪問的受保護頁面，他們將被重定向到該頁面。否則，他們將被重定向到 /loginSuccess。

如果我們要始終將用户重定向到 /loginSuccess URL，無論他們是否在身份驗證之前訪問過受保護頁面，我們都可以使用 defaultSuccessUrl(“/loginSuccess”, true) 方法。

要使用自定義處理程序，我們必須實現 AuthenticationSuccessHandler 或 AuthenticationFailureHandler 接口，覆蓋繼承方法，然後使用豆進行設置，方法是使用 successHandler() 和 failureHandler() 方法。

5.3. Custom Authorization Endpoint

授權端點是 Spring Security 用於向外部服務器啓動授權請求的端點。

首先，讓我們設置新的授權端點屬性：

.oauth2Login()
  .authorizationEndpoint()
  .baseUri("/oauth2/authorize-client")
  .authorizationRequestRepository(authorizationRequestRepository());

在這裏，我們設置了 baseUri 為 /oauth2/authorize-client 而不是默認的 /oauth2/authorization。

我們還顯式設置了 authorizationRequestRepository() 豆，我們需要定義它：

@Bean
public AuthorizationRequestRepository<OAuth2AuthorizationRequest>
  authorizationRequestRepository() {

    return new HttpSessionOAuth2AuthorizationRequestRepository();
}

我們使用了 Spring 提供的實現，但也可以提供自定義實現。

5.4. Custom Token Endpoint

令牌端點處理訪問令牌。

讓我們顯式配置 tokenEndpoint() 方法：

.oauth2Login()
  .tokenEndpoint()
  .accessTokenResponseClient(accessTokenResponseClient());

以及響應客户端豆：

@Bean
public OAuth2AccessTokenResponseClient<OAuth2AuthorizationCodeGrantRequest>
  accessTokenResponseClient() {

    return new NimbusAuthorizationCodeTokenResponseClient();
}

此配置與默認配置相同，它使用了 Spring 實現，該實現基於使用授權碼與提供商交換。

當然，我們也可以使用自定義響應客户端。

5.5. Custom Redirection Endpoint

重定向端點是重定向到在與外部提供商進行身份驗證後使用的端點。

讓我們看看如何更改重定向端點的 baseUri：

.oauth2Login()
  .redirectionEndpoint()
  .baseUri("/oauth2/redirect");

默認 URI 是 /login/oauth2/code。

注意，如果更改它，我們還需要更新每個 ClientRegistration 的 redirectUriTemplate 屬性併為每個客户端添加授權重定向 URI：

5.6. Custom User Information Endpoint

用户信息端點是我們可以利用來獲取用户信息的端點。

我們可以使用 userInfoEndpoint() 方法來定製它。對於此目的，我們可以使用諸如 userService() 和 customUserType() 之類的方法來修改用户信息的檢索方式。

6. 訪問用户信息

一項常見的任務是查找已登錄用户的信息。為此，我們可以向用户信息端點發出請求。

首先，我們需要獲取與當前用户令牌對應的客户端：

@Autowired
private OAuth2AuthorizedClientService authorizedClientService;

@GetMapping("/loginSuccess")
public String getLoginInfo(Model model, OAuth2AuthenticationToken authentication) {
    OAuth2AuthorizedClient client = authorizedClientService
      .loadAuthorizedClient(
        authentication.getAuthorizedClientRegistrationId(), 
          authentication.getName());
    //...
    return "loginSuccess";}

接下來，我們將向客户端的用户信息端點發送請求並檢索 userAttributes Map

String userInfoEndpointUri = client.getClientRegistration()
  .getProviderDetails().getUserInfoEndpoint().getUri();

if (!StringUtils.isEmpty(userInfoEndpointUri)) {
    RestTemplate restTemplate = new RestTemplate();
    HttpHeaders headers = new HttpHeaders();
    headers.add(HttpHeaders.AUTHORIZATION, "Bearer " + client.getAccessToken()
      .getTokenValue());
    HttpEntity entity = new HttpEntity("", headers);
    ResponseEntity <map>response = restTemplate
      .exchange(userInfoEndpointUri, HttpMethod.GET, entity, Map.class);
    Map userAttributes = response.getBody();
    model.addAttribute("name", userAttributes.get("name"));}

通過將 name屬性作為 Model屬性添加，我們可以將其顯示在 loginSuccess視圖中作為用户歡迎消息：

除了 name之外，userAttributes Map還包含諸如 email、family_name、picture和locale等屬性。

7. 結論

在本文中，我們學習瞭如何使用 oauth2Login() 元素在 Spring Security 中使用不同的提供商進行身份驗證，例如 Google 和 Facebook。

我們還探討了一些自定義此過程的常見場景。