spring-security-oauth2中各URI对应的Filter

By andaily in access_token, MyOIDC, Oauth, OIDC, spring-security, 原创 0 Comment 191 views

适用版本：spring-security-oauth2 v1.1及以上

URIFilter说明
/.well-known/openid-configurationOidcProviderConfigurationEndpointFilter获取配置OIDC的meta数据信息
/.well-known/oauth-authorization-serverOAuth2AuthorizationServerMetadataEndpointFilter获取配置OAuth2的meta数据信息
/userinfoOidcUserInfoEndpointFilter获取OIDC用户信息
/connect/logoutOidcLogoutEndpointFilter处理RP端发起的退出请求
/connect/registerOidcClientRegistrationEndpointFilter允许注册client端的默认实现
/oauth2/authorizeOAuth2AuthorizationEndpointFilterOAuth2中认证逻辑处理入口
/oauth2/jwksNimbusJwkSetEndpointFilter获取jwks配置信息
/oauth2/device_authorizationOAuth2DeviceAuthorizationEndpointFilterOAuth2中设备授权处理入口
/oauth2/device_verificationOAuth2DeviceVerificationEndpointFilterOAuth2中设备校验处理入口
/oauth2/tokenOAuth2TokenEndpointFilterOAuth2中token处理入口
/oauth2/introspectOAuth2TokenIntrospectionEndpointFilterOAuth2中检查token状态入口（是否激活）
/oauth2/revokeOAuth2TokenRevocationEndpointFilterOAuth2中撤回已签发的token入口

具体的实现与参考请访问：https://gitee.com/shengzhao/spring-oauth-server

SpringSecurity中OAuth2.1/OIDC1.0升级变化明细

By andaily in access_token, API, MyOIDC, Oauth, OIDC, OpenId-Connect, Spring-Boot, spring-security, 模块化, 面向期望 0 Comment 1,382 views

在spring-oauth-server v3.0.0版本中，我们全部升级了OAuth协议（从OAuth2.0升级到OAuth2.1）并同步增加了对OIDC1.0的支持落地。这些实现的底层依赖SpringSecurity框架的变化，此文将这些细节一一通过对比来讲解。

每一项是一个变化点，依次罗列出之前，之后(v3.0.0)以及说明。

  • spring security oauth组件

spring-security-oauth2 v2.3.x

spring-security-oauth2-authorization-server v1.1.x

Spring Security官方对旧的不再维护支持而推荐升级替换用新的实现，详见 https://andaily.com/blog/?p=20077

  • grant_type变化
  • authorization_code (包括PKCE)
  • password
  • client_credentials
  • implicit
  • refresh_token
  • authorization_code (包括PKCE)
  • client_credentials
  • refresh_token
  • device_code (urn:ietf:params:oauth:grant-type:device_code)
  • jwt-bearer (urn:ietf:params:oauth:grant-type:jwt-bearer)

grant_type的变化看到安全在不断升级，同时为更好的支持物联网提供协议上的支撑。具体说明详见 https://andaily.com/blog/?p=103

  • scope变化
  • read
  • write
  • trust
  • openid
  • profile
  • email
  • address
  • phone

scope的变化按照OIDC协议的规范来实现的，代码中详见 OidcScopes.java 类

  • MySQL表结构
  • oauth_client_details
  • oauth_client_token
  • oauth_access_token
  • oauth_refresh_token
  • oauth_code
  • oauth2_registered_client
  • oauth2_authorization
  • oauth2_authorization_consent

表设计变化挺大的，主要由于框架的实现重新设计与实现，新的表结构能更好地满足token全生命周期管控(同时带来一定的性能问题，可通过技术手段解决)，有更好的配置项扩展能力(通过将各类配置项通过JSON格式数据存储)

  • token配置项
  • access_token_validity -设置token有效时长(默认12小时)
  • refresh_token_validity -设置refresh_token有效时长(默认30天)
  • authorization_code_time_to_live -设置authorization_code有效时长(默认5分钟)
  • access_token_time_to_live -设置access_token有效时长(默认5分钟)
  • access_token_format -设置access_token的格式,有两选项self-contained(自签即JWT格式,默认) reference(兼容旧的,通过UUID生成随机值)
  • device_code_time_to_live -设置device_code有效时长(默认5分钟)
  • reuse_refresh_token -设置是否复用refresh_token值当刷新token后(默认true复用,设置false时每次刷新后将生成新的refresh_token值)
  • refresh_token_time_to_live -设置refresh_token有效时长(默认60分钟)
  • idtoken_signature_algorithm -设置生成id_token使用的签名算法(默认RS256)

新版本与token配置项相关的请查看 TokenSettings.java 类与数据库表oauth2_registered_client 中的字段 token_settings

  • client配置项
  • trusted -是否授权信任; 适用于grant_type=”authorization_code”的情况,当用户登录成功后,若该值为0,则会跳转到让用户Approve的页面让用户同意授权
  • autoapprove -是否自动跳过用户授权步骤
  • client_secret_expires_at -client_secret过期时间，可设置
  • client_authentication_methods -认证请求时传递client_secret支持的方式(如post, basic)
  • post_logout_redirect_uris -退出时的重定向到client的uri地址
  • require_proof_key -是否强制使用PKCE(默认false)
  • require_authorization_consent -授权时是否要求用户进行确认(默认false)
  • token_endpoint_authentication_signing_algorithm -指定jwt-bearer流程中生成id_token时使用的签名算法(常见如RS256, ES256)
  • client_name -可以给client设置一个有业务意义的名称

新版本与client配置项相关的请查看 ClientSettings.java 类与数据库表 oauth2_registered_client 中的字段 client_settings

  • java版本

java 8

java 17+（openJDK）

从JVM层面做安全升级，同时提升性能与稳定性

  • token全生命周期管控API
  • /oauth/token -通过认证生成token
  • /oauth/check_token -检查token状态
  • /oauth/error -响应HTML异常信息
  • /oauth2/token -通过认证生成token
  • /userinfo -获取用户信息，OIDC协议中定义
  • /oauth2/revoke -吊销已签发的token
  • /oauth2/introspect -审查token状态(包括是否存活等)
  • /connect/logout -退出并销毁token，浏览器上调用

新版本的token全生命周期管控完整性更好，也是协议更新版本的优势所在

通过各明细对比，能更清晰理解与把控各项安全细节。

spring-oauth-client v2.0.0发布，OAuth2.1客户端参考实现

By andaily in access_token, API, Oauth, OIDC, OpenId-Connect, Spring-Boot, 原创, 稀缺 0 Comment 1,056 views

spring-oauth-client 发布了v2.0.0版本，全面支持OAuth2.1协议的各类grant_type（如 device_code），对应不久前发布的 sping-oauth-server v3.0.0版本功能。

此版本升级更新的主要内容如下：

  1. 底层安全架构升级：jdk 升级 17 (相比 jdk8 性能与稳定性有大提升), spring6.x, springboot3.x, thymeleaf 替换 servlet/jsp
  2. 增加支持OAuth2.1协议中的 device_code 与 jwt-bearer 两种实现（同时弃用了旧的grant_type，如password），并提供相应的工具类
  3. 构建产物由war换成jar，更便捷
  4. 界面使用说明按OAuth2.1协议进行更新，更友好理解
  5. 日志框架升级，由logback替换旧的log4j

v2.0.0版本链接：https://gitee.com/mkk/spring-oauth-client/tree/2.0.0/

spring-oauth-server v3.0.0 大版本发布，升级到OAuth2.1 & OIDC1.0

By andaily in access_token, jose4j, MyOIDC, Oauth, OIDC, OpenId-Connect, Spring-Boot, spring-security, 原创 0 Comment 1,813 views

在spring-oauth-serverg开源10周来之际，我们发布了全新的大版本v3.0.0，从底层架构到整体的协议支持都做了大范围的升级与更新，更好的满足业务需要与跟上技术演进。

此版本升级更新的主要内容如下：

  1. 底层安全架构升级：jdk升级17(相比jdk8性能与稳定性有大提升), spring6.x, springboot3.x, thymeleaf替换servlet/jsp
  2. 全面升级支持 OAuth2.1协议与 OIDC1.0协议(同时弃用了旧的grant_type, 如 password模式)
  3. 构建包由war换成jar, SQL相应调整
  4. 用spring-security-oauth2-authorization-server升级替换spring-security-oauth2, 详见背景说明
  5. 界面使用说明按OAuth2.1进行友好设计并更新各提示语句
  6. 增加spring-restdocs文档支持, 自动生成API相关文档

v3.0.0 版本链接：https://gitee.com/shengzhao/spring-oauth-server/tree/3.0.0/

OAuth 2.1的状态与主要特征

By andaily in Oauth, oauth2-shiro, 原创 0 Comment 3,339 views

经过多年的OAuth 2.0协议的发展，最新版本的 OAuth 2.1 协议已经在进行中，可访问 https://oauth.net/2.1/ 获取最新的相关信息。

2.1版本相比2.0版本的优化或不同点有：

OAuth 2.1

简单点说就是：

  • PKCE变成必须的了
  • Redrect URI的检查更严格
  • grant_type中的password, implicit都不再推荐使用（甚至不再支持）
  • 不再允许通过URL查询参数传递access_token（甚至不再支持）
  • 刷新token增加约束限制（如一次性刷新）

OAuth2.1将变得更加安全，从流程定义与各个端（endpoint）来讲；这也符合网络环境越来越复杂，安全问题越来越高的实际场景。相比传统的client端浏览器与APP来讲，未来的client端会更多样，如智能家居设备，穿戴设备，工业互联设备等。

从另一个方面来说，认证凭证（如常见的 密码）将趋于在授权服务(Authorization Server)中统一进行管理，认证的操作收归到授权服务器端来管控，不再放由client端可知晓（想想grant_type=password中可通过API传递用户凭证是多么的信任client端啊）。