[Java知识库]OAuth2.0(二）

• 常用各种授权验证架构

  单体架构--cookie session机制

  

  分布式架构方案1--session共享

  

  分布式架构方案2--基于token

  

  cookie session 和token的区别：

  1. cookie是不能跨域的，前后端分离分布式架构实现多系统SSO非常困难
  2. 移动端应用没有cookie，所以对于移动端支持不好
  3. token基于header传递，部分解决了CSRF攻击（CSRF一般指跨站请求伪造。 跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法）
  4. token要比sessionID大，客户端存储在Local Storage中，可以直接被JS读取

  实战

  工程结构

  1. 授权服务器：颁发和验证令牌
  2. 资源服务器：提供需要令牌才能访问的服务

  依赖构件

  spring-cloud-starter-oauth2和spring-cloud-starter-security

  授权服务器配置

  1. oauth2配置类继承AuthorizationServerConfigurerAdapter
  2. 使用@EnableAuthorizationServer注解，开启授权服务器
  3. 配置客户端信息
  4. 令牌存储方式
  5. oauth2端点权限
     
  6. Spring Security配置类，继承WebSecurityConfigurerAdapter，实现Spring Security权限配置
     

  资源服务器配置

  1. OAuth2配置类继承AuthorizationServerConfigurerAdapter
     

  2. Security配置类继承WebSecurityConfigurerAdapter