access_token | MONKEYK.博客

oauth2-shiro 2.0.0版本发布，安全大升级

By andaily in access_token, API, jose4j, Mybatis, Oauth, oauth2-shiro, OIDC, Shiro, Spring-Boot, 原创, 模块化 2023-09-28 0 Comment 26 views

oauth2-shiro v2.0.0版本正式发布，在距上一次发布7年后，更新了大版本，对安全漏洞等问题进行大升级。

该版本主要更新内容：

升级使用springboot，调整工程结构，打包由war换成jar，使用thymeleaf替换servlet/jsp；spring大版本升级到5.3提升安全性。
JDK由1.7升级到1.8，日志框架使用logback替换log4j（处理掉log4j安全漏洞）。
升级shiro版本到v1.11.0，解决相应的shiro版本漏洞。
密码存储算法由MD5替换为SHA-256，并支持盐(salt)，让密码存储更安全可靠（通过配置参数authz.store.credentials.alg来控制与向下兼容）。
OAuth token支持使用JWT格式（通过配置参数authz.token.generator.type来控制与向下兼容）。
对初始的账户密码与client secret使用更加安全的密码策略：包括大小写字母，数字与特殊符号，长度至少10位。

v2.0.0版本链接：https://gitee.com/mkk/oauth2-shiro/tree/2.0.0/。

【推荐升级】

spring-oauth-server 2.1.0 发布，增加更多灵活场景

By andaily in access_token, Oauth, oauth2-shiro, 微服务 2022-05-01 0 Comment 785 views

spring-oauth-server在快两年后的2022-05-01更新发布了2.1.0版本，spring-oauth-server是Spring与OAuth2整合示例，并扩展提供更多特性与场景。

此版本主要增加了JWT的支持，具体内容如下：

升级access_token, refresh_token支持JWT(Json Web Token), 提高性能
增加灵活性配置参数sos.reuse.refresh-token可实时延长token时效(类似session机制)
升级spring-security oauth2版本为2.3.8.RELEASE, 增加spring-security-jwt版本1.1.1.RELEASE
优化：文档目录结构调整，更直观简洁。

v2.1.0版本链接：https://gitee.com/shengzhao/spring-oauth-server/tree/2.1.0

MyOIDC v1.1.2 发布，基于OIDC协议的参考实现

By andaily in access_token, jose4j, MyOIDC, Oauth, OpenId-Connect, Spring-Boot, spring-security, 原创 2022-01-27 0 Comment 550 views

MyOIDC — 基于OIDC协议的参考实现,根据各类库提供实现参考。正式版本v1.1.2发布，此版本主要是安全升级，更新内容：

1.为了处理CVE安全漏洞，对以下依赖库进行了升级：

spring-boot升级到v2.5.9；
spring-security-oauth2升级到v2.3.8.RELEASE
guava升级到v31.0-jre

2.增加了banner.txt，更新README.md让使用者更易上手

3.修复已知的各类bug

v1.1.2 tag：https://gitee.com/mkk/MyOIDC/tree/v1.1.2

spring-security-oauth2从v2.4.0.RELEASE开始不推荐使用并迁移

By andaily in access_token, Oauth, spring-security, 原创 2021-12-27 0 Comment 2,918 views

在spring-oauth-server最新的版本中使用的spring-security-oauth2版本为v2.3.8.RELEASE；但之后的版本中将不再升级spring-security-oauth2的版本。

这是因为在spring-security-oauth2官方从v2.4.0.RELEASE版本开始将所有类标识为过期的（@Deprecated），并且说明了原因。

* ***@deprecated*** *See the <a href=”https://github.com/spring-projects/spring-security/wiki/OAuth-2.0-Migration-Guide”>OAuth 2.0 Migration Guide</a> for Spring Security 5.*

在查看迁移的文章 https://github.com/spring-projects/spring-security/wiki/OAuth-2.0-Migration-Guide 中说明有具体原因。

为此，在spring-oauth-server的最新开发版本中（https://gitee.com/shengzhao/spring-oauth-server/tree/2.1.1/）也将去掉spring security oauth2依赖，改用新的Spring Security提供的 spring-security-authorization-server来替换。

尽请期待。