您好,登录后才能下订单哦!
这篇文章将为大家详细讲解有关SpringBootSecurity中OAuth2.0 token的存储和管理是怎样的,文章内容质量较高,因此小编分享给大家做个参考,希望大家阅读完这篇文章后对相关知识有一定的了解。
我们来继续授权服务代码的下一个优化。现在授权服务中,token的存储是存储在内存中的,我们使用的是 InMemoryTokenStore :
图中的tokenStore方法支持很多种令牌的存储方式,来看一下:
InMemoryTokenStore:这个版本的实现是被默认采用的,它可以完美的工作在单服务器上(即访问并发量压力不大的情况下,并且它在失败的时候不会进行备份),大多数的项目都可以使用这个版本的实现来进行尝试,你可以在开发的时候使用它来进行管理,因为不会被保存到磁盘中,所以更易于调试。
JwtTokenStore:这个版本的全称是 JSON Web Token(JWT),它可以把令牌相关的数据进行编码(因此对于后端服务来说,它不需要进行存储,这将是一个重大优势),但是它有一个缺点,那就是撤销一个已经授权令牌将会非常困难,所以它通常用来处理一个生命周期较短的令牌以及撤销刷新令牌(refresh_token)。另外一个缺点就是这个令牌占用的空间会比较大,如果你加入了比较多用户凭证信息。JwtTokenStore 不会保存任何数据,但是它在转换令牌值以及授权信息方面与 DefaultTokenServices 所扮演的角色是一样的。
JdbcTokenStore:这是一个基于JDBC的实现,令牌会被保存进关系型数据库。使用这个实现时,你可以在不同的服务器之间共享令牌信息,使用的时候请注意把"spring-jdbc"这个依赖加入到你的classpath当中。
RedisTokenStore : 这是一个基于Redis的实现,令牌会被保Redis缓存中。使用这个实现时,你可以在不同的服务器之间共享令牌信息,使用的时候请注意把redis依赖加入到你的classpath当中。关于redis和数据库存储数据有什么不同和需要注意的地方,这里不再描述。
默认的 InMemoryTokenStore 方式存储也是可以进行查询和删除的,我们来看一下,首先将 InMemoryTokenStore 配置为一个bean:
然后配置时调用这个bean:
我们来看一下 InMemoryTokenStore 类中对token有哪些操作:
从方法的名字可以看出,对token的增删改查操作基本都是齐全的,我们来写两个方法查询和删除token:
类中注入的InMemoryTokenStore正是前面定义的bean,只有这样才能操作内存中的token,下面来看一下测试,先根据前面的流程,申请到令牌,然后查询令牌:
然后测试删除令牌:
然后再根据令牌查询受保护的资源,可以发现无法访问了。
使用内存的方式虽然基本的功能都在,但是缺点上面也提到了,就是只能工作在单服务器上面,无法默认实现token共享,另外测试环境使用内存存储也是比较好的选择。
令牌除了可以存储在内存中,还可以存储在公共的地方,比如redis中,这样单服务器数据不同步的问题可以解决。存储在redis中首先要引入依赖:
然后配置数据源:
然后修改授权配置类,配置redis存储的bean:
这样redis存储token的配置基本就完成了,然后仿照前面的内存存储操作,写两个接口用来查询和删除redis中的token:
启动项目,按照之前的流程获取令牌,访问保护资源,然后查看redis,可以看到里面存储了我们获取的令牌:
来看查询token接口的效果:
来看删除token接口的效果:
删除后,redis中的token也删除了:
只剩下三个刷新的key。
使用jdbc存储token的方式也可以做到token共享,操作类是 JdbcTokenStore ,我们来看一下这个类:
类中定义了好多默认操作的sql语句,总共涉及到两张表:oauth_access_token和oauth_refresh_token(如果客户端的grant_type不支持refresh_token,则不会使用该表),来看一下 oauth_access_token 表的结构:
token_id:该字段的值是将access_token的值通过MD5加密后存储的
token:存储将OAuth3AccessToken.java对象序列化后的二进制数据, 是真实的AccessToken的数据值
authentication_id:该字段具有唯一性, 其值是根据当前的username(如果有),client_id与scope通过MD5加密生成的. 具体实现请参考DefaultAuthenticationKeyGenerator.java类
user_name:登录时的用户名, 若客户端没有用户名(如grant_type="client_credentials"),则该值等于client_id
client_id:你懂得
authentication:存储将OAuth3Authentication.java对象序列化后的二进制数据
refresh_token :该字段的值是将refresh_token的值通过MD5加密后存储的
来看一下 oauth_refresh_token 表的字段结构:
token_id:该字段的值是将refresh_token的值通过MD5加密后存储的.
token:存储将OAuth3RefreshToken.java对象序列化后的二进制数据.
authentication:存储将OAuth3Authentication.java对象序列化后的二进制数据
在数据库中创建这两张表:
然后在pom中引入jdbc依赖,在配置文件中配置数据源,此处不再演示。下一步修改授权配置类:
最后仿照前面,写两个查询和删除token的接口:
使用数据库存储token,比前面两种方式多了很多方法和操作,来看 JdbcTokenStore 类:
除了增删改查的操作多了几个方法,包括sql语句的默认写法也有覆盖的set方法。下面来测试,首先按照前面的流程获取token令牌,然后查询数据库:
可以看到数据库中多了两条token数据,看一下查询token接口:
删除接口:
看一下删除接口调用的方法源码:
只是删除了令牌,更新token的记录还会保留。
代码地址: https://gitee.com/blueses/spring-boot-security 23 24
关于SpringBootSecurity中OAuth2.0 token的存储和管理是怎样的就分享到这里了,希望以上内容可以对大家有一定的帮助,可以学到更多知识。如果觉得文章不错,可以把它分享出去让更多的人看到。
免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。