oauth2-shiro | MONKEYK.博客

spring-oauth-server v3.0.1 发布，支持Passkey免密码登录

spring-oauth-serverg v3.0.1正式发布，此版本主要增加免密码登录的Passkey功能。

此版本升级更新的主要内容如下：

增加Passkeys(WebAuthn) 支持, 实现浏览器无密码登录(使用设备认证)。使用说明详见 others/passkeys-webauthn-user-guide.md。
MySQL encoding use utf8mb4，支持各类表情符号。
优化：添加对 jwks.json 文件必要的安全说明。

oauth2-shiro v2.0.0版本正式发布，在距上一次发布7年后，更新了大版本，对安全漏洞等问题进行大升级。

该版本主要更新内容：

升级使用springboot，调整工程结构，打包由war换成jar，使用thymeleaf替换servlet/jsp；spring大版本升级到5.3提升安全性。
JDK由1.7升级到1.8，日志框架使用logback替换log4j（处理掉log4j安全漏洞）。
升级shiro版本到v1.11.0，解决相应的shiro版本漏洞。
密码存储算法由MD5替换为SHA-256，并支持盐(salt)，让密码存储更安全可靠（通过配置参数authz.store.credentials.alg来控制与向下兼容）。
OAuth token支持使用JWT格式（通过配置参数authz.token.generator.type来控制与向下兼容）。
对初始的账户密码与client secret使用更加安全的密码策略：包括大小写字母，数字与特殊符号，长度至少10位。

【推荐升级】

spring-oauth-server在快两年后的2022-05-01更新发布了2.1.0版本，spring-oauth-server是Spring与OAuth2整合示例，并扩展提供更多特性与场景。

此版本主要增加了JWT的支持，具体内容如下：

经过多年的OAuth 2.0协议的发展，最新版本的 OAuth 2.1 协议已经在进行中，可访问 https://oauth.net/2.1/ 获取最新的相关信息。

2.1版本相比2.0版本的优化或不同点有：

简单点说就是：

OAuth2.1将变得更加安全，从流程定义与各个端（endpoint）来讲；这也符合网络环境越来越复杂，安全问题越来越高的实际场景。相比传统的client端浏览器与APP来讲，未来的client端会更多样，如智能家居设备，穿戴设备，工业互联设备等。

从另一个方面来说，认证凭证（如常见的密码）将趋于在授权服务(Authorization Server)中统一进行管理，认证的操作收归到授权服务器端来管控，不再放由client端可知晓（想想grant_type=password中可通过API传递用户凭证是多么的信任client端啊）。

以下对OIDC主要的术语进行说明，并与OAuth2作相关对比。

EU End-User, 指用户(一般指有账号的个体，资源的拥有者)
RP Relying Party, 信任方(一般是一个软件应用), 理解为OAuth2中的客户端(client)即可, 需要在OP中注册
OP OpenID Provider, 能提供对EU进行认证的服务端(可理解为OAuth2中授权服务端),
提供RP的注册(或管理)能力，EU管理，ID Token的签发与管理等。OIDC中的核心组件。
OIDC-Server 就是一个OP的参考实现
ID Token 格式为JSON Web Token(JWT),
包含EU认证授权信息等. 有关JWT请访问 https://jwt.io/除了JWT, 知道以下概念对掌握OIDC会很有帮助
JSON Web Key(JWK),
JSON Web Encryption(JWE),
JSON Web Algorithm(JWA),
JSON Web Signature(JWS)
UserInfo Endpoint EU信息接口(OAuth2保护), 在RP获取到access_token后,可调用此接口获取EU的详细信息.
OIDC要求此接口必须使用https访问(更安全)；一般在OP中提供的Discovery中获取
Claim EU信息的载体, 可在id_token中获取,主要包括认证信息与授权信息，可根据实际扩展
查看完整术语定义请访问 https://openid.net/specs/openid-connect-core-1_0.html#Terminology