快捷導(dǎo)航

詳解OAuth2 Token 一定要放在請(qǐng)求頭中嗎

更新時(shí)間：2020年07月09日 10:19:02 作者：冷冷zz

這篇文章主要介紹了詳解OAuth2 Token 一定要放在請(qǐng)求頭中嗎，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧

Token 一定要放在請(qǐng)求頭中嗎？答案肯定是否定的，本文將從源碼的角度來分享一下 spring security oauth2 的解析過程，及其擴(kuò)展點(diǎn)的應(yīng)用場景。

Token 解析過程說明

當(dāng)我們使用 spring security oauth2 時(shí), 一般情況下需要把認(rèn)證中心申請(qǐng)的 token 放在請(qǐng)求頭中請(qǐng)求目標(biāo)接口，如下圖 ①

spring security oauth2 通過攔截器獲取此 token 完成令牌到當(dāng)前用戶信息（UserDetails）的轉(zhuǎn)換。

OAuth2AuthenticationProcessingFilter.doFilter

public class OAuth2AuthenticationProcessingFilter{
	public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException,
			ServletException {
		try {
			// 1. 根據(jù)用戶請(qǐng)求解析令牌，組裝預(yù)登陸對(duì)象
			Authentication authentication = tokenExtractor.extract(request);
			if (authentication == null) {
				// 若是預(yù)登陸狀態(tài)為空，把無狀態(tài)登錄清空
				if (stateless && isAuthenticated()) {
					SecurityContextHolder.clearContext();
				}
			}
			else {
				// 2. 根據(jù)token 來做真正的認(rèn)證登錄 Provier
				Authentication authResult = authenticationManager.authenticate(authentication);

				// 3. 登錄成功邏輯
				eventPublisher.publishAuthenticationSuccess(authResult);
				SecurityContextHolder.getContext().setAuthentication(authResult);
			}
		}
		catch (OAuth2Exception failed) {
      // 異常通知邏輯 Spring Event
			...
			return;
		}
		chain.doFilter(request, response);
	}
}

我們主要來關(guān)注第一步根據(jù)用戶請(qǐng)求解析令牌，組裝預(yù)登陸對(duì)象

來看默認(rèn)實(shí)現(xiàn) BearerTokenExtractor

public class BearerTokenExtractor implements TokenExtractor {
	@Override
	public Authentication extract(HttpServletRequest request) {
		// 1. 解析token
		String tokenValue = extractToken(request);
		if (tokenValue != null) {
			// 2. 創(chuàng)建一個(gè)authentication 返回
			PreAuthenticatedAuthenticationToken authentication = new PreAuthenticatedAuthenticationToken(tokenValue, "");
			return authentication;
		}
		return null;
	}

	protected String extractToken(HttpServletRequest request) {
		// 1.1 優(yōu)先從請(qǐng)求header 獲取token
		String token = extractHeaderToken(request);
		// 1.2 若是請(qǐng)求token 中沒有，則獲取請(qǐng)求參數(shù)中的 access_token 參數(shù)
		if (token == null) {
			token = request.getParameter(OAuth2AccessToken.ACCESS_TOKEN);
		}
		return token;
	}
}

擴(kuò)展點(diǎn)

豐富獲取 token 渠道，個(gè)性化處理.例如掘金的 X-Legacy-Token 而非必須是 Authorization