Spring OAuth2 认证流程 - 文章 - 开发者社区

OAuth2基础架构概述

在微服务架构中集成spring-boot-starter-oauth2-authorization-server后，整个系统会形成三个核心角色：认证服务器提供认证和授权服务，颁发令牌；资源服务器保护API资源，验证令牌有效性；客户端则是请求访问受保护资源的应用程序。

认证服务器和资源服务器的角色相对明确，而客户端的选择和设计则较为复杂，需要根据实际业务场景进行选择。本文将重点探讨在微服务架构下，如何选择和设计适合的客户端实现方式。

微服务架构下的客户端选择

2.1 网关作为客户端

当网关作为OAuth2客户端时，它代表最终用户完成整个认证流程，获取并管理访问令牌。这种模式适用于传统的多页面Web应用，以及需要集中管理会话和认证状态的场景。 picture.image

网关客户端的配置示例：

  
spring:  
  security:  
    oauth2:  
      client:  
        registration:  
          gateway-client:  
            client-id:gateway-client  
            client-secret:gateway-secret  
            authorization-grant-type:authorization\_code  
            redirect-uri:"{baseUrl}/login/oauth2/code/gateway-client"  
            scope:openid,profile,api.read

网关作为客户端的优势在于集中式会话管理和简化内部服务认证，对终端用户也是透明的。但缺点是最终用户无法直接访问令牌，所有请求必须经过网关，且难以支持单页应用和移动应用的场景。

2.2 前端应用作为客户端

在现代Web开发中，前端应用（特别是单页应用）可以直接作为OAuth2客户端。前端应用通常使用授权码流程加PKCE来获取令牌，这种方式更适合单页应用和移动应用。

picture.image

前端实现授权码流程的示例代码：

  
// 生成PKCE参数  
const codeVerifier = generateRandomString(128);  
const codeChallenge = base64UrlEncode(sha256(codeVerifier));  
  
// 存储PKCE参数  
localStorage.setItem('code\_verifier', codeVerifier);  
  
// 发起授权请求  
window.location.href = `${authServerUrl}/oauth2/authorize?`+  
`response\_type=code&`+  
`client\_id=frontend-client&`+  
`redirect\_uri=${encodeURIComponent('http://frontend-app/callback')}&`+  
`scope=openid profile api.read&`+  
`code\_challenge=${codeChallenge}&`+  
`code\_challenge\_method=S256`;

前端作为客户端可以直接管理令牌，适合现代前端架构，用户体验更佳。但实现复杂度较高，需要考虑令牌的安全存储，且需要额外实现刷新令牌的逻辑。

2.3 第三方系统作为客户端

第三方系统集成是OAuth2的常见场景，根据不同需求可以选择不同的授权模式：

picture.image

对于系统间调用，通常使用客户端凭证模式：

  
curl -X POST ${authServerUrl}/oauth2/token \  
  -H "Content-Type: application/x-www-form-urlencoded" \  
  -H "Authorization: Basic $(echo -n 'third-party-client:secret' | base64)" \  
  -d "grant\_type=client\_credentials&scope=api.read"

对于需要用户授权的场景，则使用授权码模式。第三方系统需要在其回调端点处理授权码换取令牌的逻辑。

多客户端混合架构设计

实际项目中，通常需要同时支持多种客户端类型。认证服务器可以配置多个客户端以支持不同场景：

  
@Bean  
public RegisteredClientRepository registeredClientRepository(JdbcTemplate jdbcTemplate,   
                                                          PasswordEncoder passwordEncoder) {  
    // 网关客户端配置  
    RegisteredClient gatewayClient = RegisteredClient.withId(UUID.randomUUID().toString())  
        .clientId("gateway-client")  
        .clientSecret(passwordEncoder.encode("gateway-secret"))  
        .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT\_SECRET\_BASIC)  
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION\_CODE)  
        .authorizationGrantType(AuthorizationGrantType.REFRESH\_TOKEN)  
        .redirectUri("http://gateway-server/login/oauth2/code/gateway-client")  
        .scope(OidcScopes.OPENID)  
        .scope("api.read")  
        .clientSettings(ClientSettings.builder()  
            .requireAuthorizationConsent(true)  
            .build())  
        .build();  
      
    // 前端SPA客户端配置  
    RegisteredClient frontendClient = RegisteredClient.withId(UUID.randomUUID().toString())  
        .clientId("frontend-client")  
        .clientAuthenticationMethod(ClientAuthenticationMethod.NONE)  
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION\_CODE)  
        .authorizationGrantType(AuthorizationGrantType.REFRESH\_TOKEN)  
        .redirectUri("http://frontend-app/callback")  
        .scope(OidcScopes.OPENID)  
        .scope("api.read")  
        .clientSettings(ClientSettings.builder()  
            .requireProofKey(true) // 启用PKCE  
            .requireAuthorizationConsent(true)  
            .build())  
        .build();  
      
    // 第三方系统客户端配置  
    RegisteredClient thirdPartyClient = RegisteredClient.withId(UUID.randomUUID().toString())  
        .clientId("third-party-client")  
        .clientSecret(passwordEncoder.encode("third-party-secret"))  
        .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT\_SECRET\_BASIC)  
        .authorizationGrantType(AuthorizationGrantType.CLIENT\_CREDENTIALS)  
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION\_CODE)  
        .redirectUri("http://third-party-app/callback")  
        .scope("api.read")  
        .scope("api.write")  
        .clientSettings(ClientSettings.builder()  
            .requireAuthorizationConsent(true)  
            .build())  
        .build();  
      
    // 保存客户端配置  
    JdbcRegisteredClientRepository repository = new JdbcRegisteredClientRepository(jdbcTemplate);  
    return repository;  
}

认证流程分析

不同客户端类型有着不同的认证流程：

Web应用场景 ：用户访问网关保护的资源时，网关作为OAuth2客户端将用户重定向到认证服务器。用户登录并授权后，重定向回网关，网关获取并存储令牌，然后使用该令牌访问后端服务。这种流程对用户来说是透明的，用户无需关心令牌管理。

单页应用场景 ：SPA应用使用授权码流程并结合PKCE增强安全性。用户在认证服务器上登录并授权后，应用获取令牌并在本地安全存储。后续API请求都会携带此令牌。这种模式让前端应用能够直接控制认证状态。

第三方系统场景 ：对于系统间调用，通常使用客户端凭证模式直接获取令牌；对于需要用户授权的场景，则实现完整的授权码流程，在回调地址处理授权码换取令牌的逻辑。

客户端选择的决策因素

选择合适的客户端实现方式时，应考虑以下因素：

应用类型 ：传统Web应用通常选择网关作为客户端；SPA和移动应用则选择前端应用作为客户端；系统集成场景选择第三方系统作为客户端。

安全需求 ：高安全要求场景可选择网关作为客户端，这样令牌不会暴露给前端；普通安全需求场景可以让前端应用作为客户端，但要结合PKCE增强安全性。

用户体验 ：网关作为客户端可提供无缝的用户体验；前端应用作为客户端则能提供更灵活的交互体验。

技术栈 ：传统后端渲染应用适合选择网关作为客户端；前后端分离架构则适合前端应用作为客户端。

常见问题与解决方案

网关客户端下前端无法获取令牌 ：可以提供专门的API端点，让前端获取当前会话的令牌信息。

令牌安全存储 ：网关客户端应使用安全的会话存储；前端客户端可使用httpOnly cookie或加密本地存储保护令牌。

刷新令牌处理 ：各类客户端都应实现令牌刷新逻辑，避免用户频繁登录，提升用户体验。

多客户端配置复杂 ：可以使用配置模板和自动化部署工具简化配置过程。

最后欢迎加入苏三的星球，你将获得：AI开发项目课程、苏三AI项目、商城微服务实战、秒杀系统实战、商城系统实战、秒杀系统实战、代码生成工具、系统设计、性能优化、技术选型、底层原理、Spring源码解读、工作经验分享、痛点问题、面试八股文等多个优质专栏。

还有1V1答疑、修改简历、职业规划、送书活动、技术交流。

扫描下方二维码，即可加入星球：

picture.image

目前星球已经更新了5200+篇优质内容，还在持续爆肝中.....

星球已经被官方推荐了3次，收到了小伙伴们的一致好评。戳我加入学习，已有1700+小伙伴加入学习。

最后推荐一下我的技术专栏《性能优化35讲》，里面包含了：接口调用、Java、JVM、并发编程、MySQL、Redis、ElasticSearch、Spring、SpringBoot等多个性能优化技巧。无论在工作，还是在面试中，都会经常遇到，非常有参考价值。

picture.image

最近建了一些工作内推群，各大城市都有，欢迎各位HR和找工作的小伙伴进群交流，群里目前已经收集了不少的工作内推岗位。加苏三的微信：li_su223，备注：所在城市，即可进群。

picture.image