Spring Security +Oauth2 +Spring boot 动态定义权限

Posted 2020-11-02 u清

Oauth2介绍：Oauth2是为用户资源的授权定义了一个安全、开放及简单的标准，第三方无需知道用户的账号及密码，就可获取到用户的授权信息，并且这是安全的。

简单的来说，当用户登陆网站的时候，需要账号和密码，但是你没有账号和密码，你需要注册网站的账号和密码，可是你不想注册，如果我有(qq,github,微博，facebook)第三方网站的账号，直接登陆当前网站访问网站的资源就好了？有没有这种实现呢?

答案是yes，当然为统一规范，其中就用到 oauh2。

ouah2有4中实现模式(参考阮一峰的 http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html)

(1)授权码模式

用户访问网站登陆的时候，选择qq登陆，facebook登陆，或者微博登陆的时候，网站将你导入qq,facebook,微博的登陆页面(也就是认证服务器)输入账号和密码，当授权成功时，将获取唯一的授权码(Auth code)，然后客户端拿到这个Auth code附上早先的重定向url，向认qq,facebook,请求token，向认证服务器(qq,facebook)提交的请求头核对授权码和重定向url，确认无误，返回token和更新令牌

(2)密码模式

 用户向客户端提高自己的账号和密码。客户端使用这些信息，向服务器提供商索要授权码，认证服务器认证通过以后，返回令牌，用户通过令牌就可以访问网站的资源

(3)简易模式

不通过第三方应用程序的服务器，直接在浏览器中向认证服务器索要令牌，跳过授权码这个步骤。

(4)客户端模式

指客户端以自己的名义，而不是以用户的名义，向"服务提供商"进行认证。严格地说，客户端模式并不属于OAuth框架所要解决的问题。在这种模式中，用户直接向客户端注册，客户端以自己的名义要求"服务提供商"提供服务，其实不存在授权问题。

Spring Security介绍:

Spring Security是一个专注于为Java应用程序提供身份验证和授权的框架，使用内部使用Servlet过滤器对url的请求进行过滤，并且在应用程序处理该请求之前进行某些安全处理。 Spring Security提供有若干个过滤器，它们能够拦截Servlet请求，并将这些请求转给认证和访问决策管理器处理，从而增强安全性。根据自己的需要，可以使用适当的过滤器来保护自己的应用程序。

Spring Security 与oath2自定义权限控制