詳解OAuth2 Token 一定要放在請(qǐng)求頭中嗎
Token 一定要放在請(qǐng)求頭中嗎? 答案肯定是否定的,本文將從源碼的角度來分享一下 spring security oauth2 的解析過程,及其擴(kuò)展點(diǎn)的應(yīng)用場(chǎng)景。
Token 解析過程說明
當(dāng)我們使用 spring security oauth2 時(shí), 一般情況下需要把認(rèn)證中心申請(qǐng)的 token 放在請(qǐng)求頭中請(qǐng)求目標(biāo)接口,如下圖 ①
spring security oauth2 通過攔截器獲取此 token 完成令牌到當(dāng)前用戶信息(UserDetails)的轉(zhuǎn)換。
OAuth2AuthenticationProcessingFilter.doFilter
public class OAuth2AuthenticationProcessingFilter{ public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { try { // 1. 根據(jù)用戶請(qǐng)求解析令牌,組裝預(yù)登陸對(duì)象 Authentication authentication = tokenExtractor.extract(request); if (authentication == null) { // 若是預(yù)登陸狀態(tài)為空,把無狀態(tài)登錄清空 if (stateless && isAuthenticated()) { SecurityContextHolder.clearContext(); } } else { // 2. 根據(jù)token 來做真正的認(rèn)證登錄 Provier Authentication authResult = authenticationManager.authenticate(authentication); // 3. 登錄成功邏輯 eventPublisher.publishAuthenticationSuccess(authResult); SecurityContextHolder.getContext().setAuthentication(authResult); } } catch (OAuth2Exception failed) { // 異常通知邏輯 Spring Event ... return; } chain.doFilter(request, response); } }
我們主要來關(guān)注第一步 根據(jù)用戶請(qǐng)求解析令牌,組裝預(yù)登陸對(duì)象
來看默認(rèn)實(shí)現(xiàn) BearerTokenExtractor
public class BearerTokenExtractor implements TokenExtractor { @Override public Authentication extract(HttpServletRequest request) { // 1. 解析token String tokenValue = extractToken(request); if (tokenValue != null) { // 2. 創(chuàng)建一個(gè)authentication 返回 PreAuthenticatedAuthenticationToken authentication = new PreAuthenticatedAuthenticationToken(tokenValue, ""); return authentication; } return null; } protected String extractToken(HttpServletRequest request) { // 1.1 優(yōu)先從請(qǐng)求header 獲取token String token = extractHeaderToken(request); // 1.2 若是請(qǐng)求token 中沒有,則獲取請(qǐng)求參數(shù)中的 access_token 參數(shù) if (token == null) { token = request.getParameter(OAuth2AccessToken.ACCESS_TOKEN); } return token; } }
擴(kuò)展點(diǎn)
豐富獲取 token 渠道,個(gè)性化處理.例如掘金的 X-Legacy-Token 而非必須是 Authorization
請(qǐng)求參數(shù)中攜帶 access_token 參數(shù)也能被正確解析處理
重寫 BearerTokenExtractor 解決,若請(qǐng)求攜帶 token 無論接口是否被設(shè)置 permitAll 都會(huì)被攔截判斷的問題
項(xiàng)目推薦: Spring Cloud 、Spring Security OAuth2的RBAC權(quán)限管理系統(tǒng)
到此這篇關(guān)于詳解OAuth2 Token 一定要放在請(qǐng)求頭中嗎的文章就介紹到這了,更多相關(guān)OAuth2 Token 請(qǐng)求頭內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家!
相關(guān)文章
java異步執(zhí)行代碼處理方法(先返回結(jié)果,后執(zhí)行代碼)
這篇文章主要給大家介紹了關(guān)于java異步執(zhí)行代碼處理方法的相關(guān)資料,先返回結(jié)果,后執(zhí)行代碼,文中通過實(shí)例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2023-07-07Spring Data JPA實(shí)現(xiàn)動(dòng)態(tài)查詢的兩種方法
本篇文章主要介紹了Spring Data JPA實(shí)現(xiàn)動(dòng)態(tài)查詢的兩種方法,具有一定的參考價(jià)值,有興趣的可以了解一下。2017-04-04Spring事件監(jiān)聽器ApplicationListener源碼詳解
這篇文章主要介紹了Spring事件監(jiān)聽器ApplicationListener源碼詳解,ApplicationEvent以及Listener是Spring為我們提供的一個(gè)事件監(jiān)聽、訂閱的實(shí)現(xiàn),內(nèi)部實(shí)現(xiàn)原理是觀察者設(shè)計(jì)模式,需要的朋友可以參考下2023-05-05詳解使用JavaCV/OpenCV抓取并存儲(chǔ)攝像頭圖像
本篇文章主要介紹了使用JavaCV/OpenCV抓取并存儲(chǔ)攝像頭圖像,實(shí)例分析了使用JavaCV/OpenCV抓取并存儲(chǔ)攝像頭圖像的技巧,非常具有實(shí)用價(jià)值,需要的朋友可以參考下2017-04-04mybatis映射內(nèi)部類的使用及注意事項(xiàng)說明
這篇文章主要介紹了mybatis映射內(nèi)部類的使用及注意事項(xiàng)說明,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2023-12-12