UAA原理分析

Posted 2021-01-03 yorkwu

本文简要分析了UAA的认证机制和部分源码分析。
UAA全称User Account and Authentication。
相关源码都是通过Jhipster生成，包括UAA，Gateway，Identity。Jhipster简介请参考这里。

1 OAuth2认证模式

1.1 密码模式

密码模式（Resource Owner Password Credentials）中，用户向客户端提供自己的用户名和密码。客户端使用这些信息，向"认证服务器"进行认证。在这种模式中，用户必须把自己的密码给客户端，但是客户端不得储存密码。
流程如下：
a, 用户向客户端提供用户名和密码。
b, 客户端将用户名和密码发给认证服务器，向后者请求令牌。
c, 认证服务器确认无误后，向客户端提供访问令牌。
d, 客户端之后所有访问都会传递令牌。

1.2 客户端模式

客户端模式（Client Credentials）指客户端以服务自身的名义，而不是以用户的名义，向"认证服务器"进行认证。
流程如下：
a, 客户端向认证服务器进行身份认证，并要求一个访问令牌。
b, 认证服务器确认无误后，向客户端提供访问令牌。

2 UAA认证方式

2.1 用户调用

oauth2认证模式： 密码模式

配置文件相关内容

oauth2:     
  web-client-configuration:        
    #change client secret in production, keep in sync with UAA configuration        
    client-id: web_app        
    secret: changeit

时序图

说明：这种认证方式是用在用户访问的场景，也就是服务间调用时总是带着用户名和密码信息。

2.2 机器调用

oauth2认证模式： 密码模式

配置文件相关内容

jhipster:    
  security:        
    client-authorization:            
      client-id: internal            
      client-secret: internal

时序图

说明：这种认证方式是用在内部服务之间调用的场景，也就是服务间调用时是没有用户名和密码信息的。

3 源码分析

3.1 UAA

com.yourcompany.uaa.config.UaaConfiguration

注册为认证服务器，注册用户调用客户端（web_app）和机器调用客户端（internal）。目前都是写死的，如果需要保存所有客户端到数据库，需要修改方法configure(ClientDetailsServiceConfigurer clients)。

com.yourcompany.uaa.config.UaaProperties

uaa相关配置属性和值。

com.yourcompany.uaa.config.UaaWebSecurityConfiguration

配置不需要认证的url。

com.yourcompany.uaa.security.DomainUserDetailsService

查询数据库返回包含完整用户信息的对象。

com.yourcompany.uaa.security.IatTokenEnhancer

添加iat到token中，即token创建时间。

com.yourcompany.uaa.security.SecurityUtils

spring security 工具类，获取当前线程用户的登录名，判断当前登录用户是否认证过，判断当前用户是否具有指定的权限。

com.yourcompany.uaa.security.SpringSecurityAuditorAware

获取当前线程用户的登录名，调用SecurityUtils的方法。

com.yourcompany.uaa.security.TokenProvider

创建token工具类。

org.springframework.security.core.userdetails.User

内置用户类，保存用户名，密码，账号是否过期，账号是否锁定，账号凭证是否过期，是否可用。

org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter

内置过滤器，调用AuthenticationManager校验form表单提交的用户名密码。

org.springframework.security.oauth2.provider.endpoint.TokenEndpoint

内置端点，接受客户端请求，认证后返回token。

org.springframework.security.oauth2.provider.endpoint.TokenKeyEndpoint

内置端点，接受客户端请求，返回验证公钥。

3.2 Gateway

com.yourcompany.gateway.web.filter.RefreshTokenFilter

过滤器，过滤传入的请求并刷新到期之前的访问令牌。

com.yourcompany.gateway.web.filter.RefreshTokenFilterConfigurer

配置类，配置refreshtokenfilter到工程里。

com.yourcompany.gateway.config.MicroserviceSecurityConfiguration

注册为资源服务器，保护/api/和/management/等资源。

com.yourcompany.gateway.config.oauth2.OAuth2AuthenticationConfiguration

注册为oauth2的资源服务器，保护/auth/logout， 注册RefreshTokenFilterConfigurer到应用过滤链中。

com.yourcompany.gateway.config.oauth2.OAuth2JwtAccessTokenConverter

access token解码器，将token解码为身份对象；获取uaa公钥并配置为密钥签名保存在内存中。

com.yourcompany.gateway.config.oauth2.OAuth2Properties

保存配置文件中oauth2部分的属性。

com.yourcompany.gateway.security.AuthoritiesConstants

对应uaa数据表jhi_authority。

com.yourcompany.gateway.security.SecurityUtils

spring security 工具类，获取当前登录用户的登录名，判断当前登录用户是否认证过，判断当前用户是否具有指定的权限。

com.yourcompany.gateway.security.oauth2.CookieTokenExtractor

从cookie中解析出access token，使用了OAuth2CookeiHelper。

com.yourcompany.gateway.security.oauth2.OAuth2CookieHelper

cookie帮助类。 getClaim()方法可以从token中获取明文信息。

com.yourcompany.gateway.security.oauth2.OAuth2AuthenticationService

管理OAuth2的身份验证情况，保存（更新）access token和refresh token的Cookie。

com.yourcompany.gateway.security.oauth2.OAuth2Cookies

保存access token和refresh token。

com.yourcompany.gateway.security.oauth2.CookiesHttpServletRequestWrapper

请求映射器，用于修改原始请求中的cookie。

com.yourcompany.gateway.security.oauth2.CookieCollection

允许修改的Cookie集合，与单纯的数组不同。

com.yourcompany.gateway.security.oauth2.OAuth2SignatureVerifierClient

接口， 定义方法getSignatureVerifier()， 表示创建一个SignatureVerifier，用于获取公钥并验证JWT令牌。

com.yourcompany.gateway.security.oauth2.UaaSignatureVerifierClient

客户端从UAA获取公钥并返回SignatureVerifier。实现了OAuth2SignatureVerifierClient接口的getSignatureVerifier()方法。

com.yourcompany.gateway.security.oauth2.OAuth2TokenEndpointClient

接口， 作为客户端与OAuth2授权服务器的令牌终端通信。2个重要方法： sendPasswordGrant()和sendRefreshGrant()。

com.yourcompany.gateway.security.oauth2.OAuth2TokenEndpointClientAdapter

抽象类， 实现了OAuth2TokenEndpointClient的2个重要方法。定义了一个给请求头中添加身份信息的抽象方法addAuthentication()。

com.yourcompany.gateway.security.oauth2.UaaTokenEndpointClient

继承OAuth2TokenEndpointClientAdapter，实现OAuth2TokenEndpointClient。 作为客户端与UAA服务器的令牌终端通信，实现了addAuthentication()方法，从配置文件中获取如下配置，并放到请求头中：

oauth2:
  web-client-configuration:
    client-id: web_app
    secret: changeit

注意：

• 如果用户登录没有勾选“记住我”，cookie里面的刷新令牌的key为： cookie_token；如果勾选了“记住我”，cookie里面的刷新令牌的key为： refresh_token
• 如果要严格判断登出时间，需要通过缓存中间件保存logout登出信息。

3.3 Identity

com.yourcompany.identity.client.AuthorizedFeignClient

注解。 为机器调用添加认证信息。默认注册拦截器OAuth2FeignRequestInterceptor。

com.yourcompany.identity.client.AuthorizedUserFeignClient

注解。为用户调用添加认证信息。默认注册拦截器UserFeignClientInterceptor

com.yourcompany.identity.client.OAuth2InterceptedFeignConfiguration

注册Oauth2RequestInterceptor。

com.yourcompany.identity.client.OAuth2UserClientFeignConfiguration

注册UserFeignClientInterceptor。

com.yourcompany.identity.client.UserFeignClientInterceptor

拦截器， 给resttemplate的请求头中添加认证信息。

com.yourcompany.identity.config.MicroserviceSecurityConfiguration

注册为资源服务器，保护/api/和/management/等资源。

com.yourcompany.identity.security.oauth2.OAuth2SignatureVerifierClient

接口， 定义方法getSignatureVerifier()， 表示创建一个SignatureVerifier，用于获取公钥并验证JWT令牌。

com.yourcompany.identity.security.oauth2.UaaSignatureVerifierClient

客户端从UAA获取公钥并返回SignatureVerifier。实现了OAuth2SignatureVerifierClient接口的getSignatureVerifier()方法。