oauth2-shiro 2.0.0版本发布，安全大升级

By andaily in access_token, API, jose4j, Mybatis, Oauth, oauth2-shiro, OIDC, Shiro, Spring-Boot, 原创, 模块化 0 Comment 26 views

oauth2-shiro v2.0.0版本正式发布，在距上一次发布7年后，更新了大版本，对安全漏洞等问题进行大升级。

该版本主要更新内容：

  1. 升级使用springboot，调整工程结构，打包由war换成jar，使用thymeleaf替换servlet/jsp；spring大版本升级到5.3提升安全性。
  2. JDK由1.7升级到1.8，日志框架使用logback替换log4j（处理掉log4j安全漏洞）。
  3. 升级shiro版本到v1.11.0，解决相应的shiro版本漏洞。
  4. 密码存储算法由MD5替换为SHA-256，并支持盐(salt)，让密码存储更安全可靠（通过配置参数authz.store.credentials.alg来控制与向下兼容）。
  5. OAuth token支持使用JWT格式（通过配置参数authz.token.generator.type来控制与向下兼容）。
  6. 对初始的账户密码与client secret使用更加安全的密码策略：包括大小写字母，数字与特殊符号，长度至少10位。

v2.0.0版本链接：https://gitee.com/mkk/oauth2-shiro/tree/2.0.0/。

【推荐升级】

spring-oauth-server 2.1.0 发布，增加更多灵活场景

By andaily in access_token, Oauth, oauth2-shiro, 微服务 0 Comment 785 views

spring-oauth-server在快两年后的2022-05-01更新发布了2.1.0版本，spring-oauth-server是Spring与OAuth2整合示例，并扩展提供更多特性与场景。

此版本主要增加了JWT的支持，具体内容如下：

  1. 升级access_token, refresh_token支持JWT(Json Web Token), 提高性能
  2. 增加灵活性配置参数sos.reuse.refresh-token可实时延长token时效(类似session机制)
  3. 升级spring-security oauth2版本为2.3.8.RELEASE, 增加spring-security-jwt版本1.1.1.RELEASE
  4. 优化：文档目录结构调整，更直观简洁。

v2.1.0版本链接：https://gitee.com/shengzhao/spring-oauth-server/tree/2.1.0

MyOIDC v1.1.2 发布，基于OIDC协议的参考实现

By andaily in access_token, jose4j, MyOIDC, Oauth, OpenId-Connect, Spring-Boot, spring-security, 原创 0 Comment 550 views

MyOIDC  — 基于OIDC协议的参考实现,根据各类库提供实现参考 。正式版本v1.1.2发布，此版本主要是安全升级，更新内容：

1.为了处理CVE安全漏洞，对以下依赖库进行了升级：

  • spring-boot升级到v2.5.9；
  • spring-security-oauth2升级到v2.3.8.RELEASE
  • guava升级到v31.0-jre

2.增加了banner.txt，更新README.md让使用者更易上手

3.修复已知的各类bug

v1.1.2 tag：https://gitee.com/mkk/MyOIDC/tree/v1.1.2

spring-security-oauth2从v2.4.0.RELEASE开始不推荐使用并迁移

By andaily in access_token, Oauth, spring-security, 原创 0 Comment 2,918 views

在spring-oauth-server最新的版本中使用的spring-security-oauth2版本为v2.3.8.RELEASE；但之后的版本中将不再升级spring-security-oauth2的版本。

这是因为在spring-security-oauth2官方从v2.4.0.RELEASE版本开始将所有类标识为过期的（@Deprecated），并且说明了原因。

* @deprecated See the <a href=”https://github.com/spring-projects/spring-security/wiki/OAuth-2.0-Migration-Guide”>OAuth 2.0 Migration Guide</a> for Spring Security 5.

所有类在IDE中显示为不推荐使用。

在查看迁移的文章 https://github.com/spring-projects/spring-security/wiki/OAuth-2.0-Migration-Guide 中说明有具体原因。

为此，在spring-oauth-server的最新开发版本中（https://gitee.com/shengzhao/spring-oauth-server/tree/2.1.1/）也将去掉spring security oauth2依赖，改用新的Spring Security提供的 spring-security-authorization-server来替换。

尽请期待。

spring-oauth-server v2.1.0增加token存储的配置说明

By andaily in access_token, Oauth, 原创 0 Comment 717 views

在spring-oauth-server的v2.1.0版本中增加了新的配置属性：

sos.token.store=jwt

该配置项有两个可选值：jwt或jdbc(默认)

jwt – 表示使用jwt作为token的数据格式，性能更高，推荐使用；配置实现详见 JWTTokenStoreConfiguration.java类；

jdbc – 表示使用数据库存储token的数据(包括refresh token)，支持之前版本的实现，也是默认选项，对应的配置实现详见 JdbcTokenStoreConfiguration.java

https://gitee.com/shengzhao/spring-oauth-server

OAuth 2.1的状态与主要特征

By andaily in Oauth, oauth2-shiro, 原创 0 Comment 1,540 views

经过多年的OAuth 2.0协议的发展，最新版本的 OAuth 2.1 协议已经在进行中，可访问 https://oauth.net/2.1/ 获取最新的相关信息。

2.1版本相比2.0版本的优化或不同点有：

OAuth 2.1

简单点说就是：

  • PKCE变成必须的了
  • Redrect URI的检查更严格
  • grant_type中的password, implicit都不再推荐使用（甚至不再支持）
  • 不再允许通过URL查询参数传递access_token（甚至不再支持）
  • 刷新token增加约束限制（如一次性刷新）

OAuth2.1将变得更加安全，从流程定义与各个端（endpoint）来讲；这也符合网络环境越来越复杂，安全问题越来越高的实际场景。相比传统的client端浏览器与APP来讲，未来的client端会更多样，如智能家居设备，穿戴设备，工业互联设备等。

从另一个方面来说，认证凭证（如常见的 密码）将趋于在授权服务(Authorization Server)中统一进行管理，认证的操作收归到授权服务器端来管控，不再放由client端可知晓（想想grant_type=password中可通过API传递用户凭证是多么的信任client端啊）。

OAuth2中token升级使用JWT的实现参考

By andaily in access_token, MyOIDC, Oauth, OpenId-Connect, spring-security, 原创 0 Comment 2,453 views

OAuth2中默认使用 Bearer Tokens (一般用UUID值)作为token的数据格式，但也支持升级使用JSON Web Token(JWT)来作为token的数据格式。

20200918101526

下面以 spring-oauth-server 升级使用JWT来说明

重点在于提供一个 JwtTokenStore的配置类，详细可参见 MyOIDC 工程中的配置：https://gitee.com/mkk/MyOIDC/blob/master/myoidc-server/src/main/java/myoidc/server/config/OAuth2ServerConfiguration.java

需要注意的是底层使用的算法，可以是RSA也可以对称加密的HMAC等，具体可查看 JwtAccessTokenConverter.java 类。

对应的工程中需要增加 spring-security-jwt 库的依赖（如果是Maven工程）。

 

OIDC中的术语介绍与示例

By andaily in API, MyOIDC, Oauth, oauth2-shiro, OIDC, OpenId-Connect, 原创 0 Comment 2,883 views

 

以下对OIDC主要的术语进行说明，并与OAuth2作相关对比。

  • EU End-User, 指用户(一般指有账号的个体，资源的拥有者)
  • RP Relying Party, 信任方(一般是一个软件应用), 理解为OAuth2中的客户端(client)即可, 需要在OP中注册
  • OP OpenID Provider, 能提供对EU进行认证的服务端(可理解为OAuth2中授权服务端),
    提供RP的注册(或管理)能力，EU管理，ID Token的签发与管理等。OIDC中的核心组件。
    OIDC-Server 就是一个OP的参考实现
  • ID Token 格式为JSON Web Token(JWT),
    包含EU认证授权信息等. 有关JWT请访问 https://jwt.io/除了JWT, 知道以下概念对掌握OIDC会很有帮助
    JSON Web Key(JWK),
    JSON Web Encryption(JWE),
    JSON Web Algorithm(JWA),
    JSON Web Signature(JWS)
  • UserInfo Endpoint EU信息接口(OAuth2保护), 在RP获取到access_token后,可调用此接口获取EU的详细信息.
    OIDC要求此接口必须使用https访问(更安全)；一般在OP中提供的Discovery中获取
  • Claim EU信息的载体, 可在id_token中获取,主要包括认证信息与授权信息，可根据实际扩展
  • 查看完整术语定义请访问 https://openid.net/specs/openid-connect-core-1_0.html#Terminology

OIDC协议中抽象了一个主要的操作步骤与流程示意图，如下：

20200920150958

下面以AWS提供的OIDC服务来举例说明。 假设你现在有一个应用A想集成使用AWS的OIDC服务，在实现OIDC之前需要先做几件事

  1. 应用A(RP)先去AWS(OP)中注册一个应用并获取对应的client_id, client_secret，public key等信息（ 一般这步骤是开发者去完成）。注册时一般需要提供应用名称，redirect_uri等信息。
  2. 根据AWS提供的实现文档进行应用A(RP)的集成（也是开发者完成）。

OIDC流程在此示例中的关系图如下：

20200920151748

结束。

 

详细完整的使用请访问 MyOIDC: https://gitee.com/mkk/MyOIDC。