# **認證中心* auth-server* auth-server在項目中的位置  auth-server在項目用的作用  ## 認證服務器頒發token核心流程 * /oauth/token?grant_type=password #請求授權token * /oauth/token?grant_type=refresh_token #刷新token * /oauth/check_token #校驗token * /oauth/authorize #授權碼模式 ## OAUTH 核心處理調用關系   根據以上流程重寫了密碼模式,（僅用來學習流程，并沒有真正調用）  根據以上流程重寫了客戶端模式（僅用來學習流程，并沒有真正調用）  # 代碼結構 認證服務器@EnableAuthorizationServer  ### AuthorizationServer 認證服務器 AuthorizationServer配置主要是覆寫如下的三個方法，分別針對endpoints、clients、security配置。 認證服務同時也是一個資源服務器@EnableResourceServer ### ResourceServer資源服務器配置  # auth-server核心表 oauth_client_details --> JdbcClientDetailsService 處理  為了性能，重構JdbcClientDetailsService，oauth_client_details內容緩存redis中map中  ## 授權碼存取策略 授權碼緩存redis里面，RedisAuthorizationCodeServices，解決啟動多個認證中心授權碼問題  ## 異常通用處理  ## token票據服務  ## spring security 自定義用戶驗證邏輯，取sys_user表  ## 服務間鑒權處理，feigin調用解決token傳遞問題  **注意，基于密碼模式的方式需要先啟動用戶中心，通過feigin調用**  ### feign原理  ### feign聲明  ### 服務調用  啟動user-center后測試auth-server的密碼模式  **如果是客戶端模式，可以通過swagger測試** 訪問認證中心地址http://130.75.131.208:8000/document.html  需要帶上token，否則無法訪問auth-server的資源  ## 權限訪問白名單 ### 配置文件  ### 處理類  ### 處理/oauth/authorize 核心類AuthorizationEndpoint  #### 授權碼模式 獲取授權碼 http://127.0.0.1:8000/oauth/authorize?client_id=owen&redirect_uri=http://127.0.0.1:9997/dashboard/login&state=abc&scope=app&response_type=code 用授權碼換token  #### 密碼模式 >基本流程就是： 通過ClientDetailsSevice根據ClientId查找對應的Client，由Oauth2RequestFactory生成TokenRequest。檢查是否能對應的找到Client，沒有就拋出異常。 檢查參數，都沒問題了最后就調用Ganter的grant方法來生成Token并返回。 >密碼模式，即用戶提供username,password,clientId,clientSecret，grantType=password等信息，請求/oauth/token，獲得access_token，用戶即可通過access_token訪問資源 訪問/oauth/token >對應代碼處理流程 此時FilterChainProxy的filter順序如下。重要的Filter有ClientCredentialsTokenEndpointFilter和BasicAuthenticationFilter，前者從request parameters中抽取client信息，后者從header Authorization Basic XXXX中抽取client信息。  **ClientCredentialsTokenEndpointFilter**會從parameter中抽取client_id,client_secret信息，并進行client的身份驗證。   訪問/oauth/token，都事先驗證了client信息，并作為authentication存儲在SecurityContextHolder中。傳遞到TokenEndPoint的principal是client，paramters包含了user的信息和grantType。   ### 處理/oauth/token核心類TokenEndpoint   #### security認證原理 >認證的工作是交給AuthenticationManager去做，AuthenticationManager下有多個認證器 AuthenticationProvider 只要其中一個AuthenticationProvider通過認證就算登陸成功，而且在認證器中拋出異常，無法終止認證流程只是算該認證器未通過。 第一個config就算配置了一個AuthenticationManagerBuilder 這個類會生成一個 AuthenticationManager和DaoAuthenticationProvider認證器，認證調用userdetailservice 的loadUserByUsername方法來和你傳入的username passworde做比較，password 是通過BCryptPasswordEncoder來做編碼后比較的，這樣做是為了提高安全性。 ## 通過arthas理解OAUTH密碼模式    ## 代碼分析  ### 認證授權效果圖  ### redis token 結構 ``` 排除refresh_token，主要key如下： * auth_to_access:OAuth2Authentication相關信息加密后的值,value為string結構 這個主要是通過OAuth2Authentication來獲取OAuth2AccessToken * auth:token值，value為string結構 這個主要用來獲取token的OAuth2Authentication，用來獲取相應的權限信息 * client_id_to_access:clientId，value為list結構 這個主要是存儲了每個clientId申請的OAuth2AccessToken的集合 方便用來審計和應急處理跟clientId相關的token * access:token值，value為string 這個主要是通過token值來獲取OAuth2AccessToken * uname_to_access:clientId:userId,value的結構是list 存儲OAuth2AccessToken的集合 主要是為了通過clientId,userId來獲取OAuth2AccessToken集合，方便用來獲取及revoke approval ``` ## 項目pom版本依賴  左側2.0.x版本 左側1.5.9版本差異