手把手教你搭建一个基于OAuth2.1规范的授权认证服务器（一）：附源码

2025-04-24 22:18:12 1 阅读

前言

技术更新：Spring Security OAuth已经逐渐被淘汰，而Spring Authorization Server是其官方推荐的替代方案。它提供了更现代、更安全的授权服务器实现，符合最新的OAuth 2.1规范。

项目需求：小灰工作上的项目需要搭建一个授权服务器，而原先使用的Spring Security OAuth，而该项目已经逐渐被淘汰，虽然网上有很多相关教程和资料，但考虑到技术的更新迭代，决定采用Spring Authorization Server来实现。

功能实现：该项目包括认证授权中心、资源服务器、客户端和服务端。通过使用Spring Authorization Server，可以确保这些功能的安全性和可靠性，同时遵循最新的安全标准。

项目功能

授权中心Server：进行认证、授权，并发放token、刷新token，不负责token鉴权(由资源服务器自行鉴权)；

客户端Client：面向用户的操作入口；向Server请求token，携带token访问Resource；

资源服务器Resource：提供资源，需要携带token请求，可以自行鉴权；

项目结构

项目搭建

说明：项目相关架包、数据库脚本相关信息在项目里，具体可链接下载。

授权中心Server（spring-authorization-server）：

application.yaml


server:
  port: 9000
  servlet:
    session:
      cookie:
        name: OAuth-Auth-Server
logging:
  level:
    root: info
    org.springframework.web: info
    org.springframework.security: trace
    org.springframework.security.oauth2: trace
spring:
  thymeleaf:
    cache: false
    prefix: classpath:/templates
#    check-template-location: true
    suffix: .html
    mode: HTML
  datasource:
    driver-class-name: com.mysql.cj.jdbc.Driver
    url: jdbc:mysql://ip:3306/oauth2.0?useUnicode=true&characterEncoding=utf8&zeroDateTimeBehavior=convertToNull&useSSL=true&serverTimezone=GMT%2B8
    username: root
    password: ********

新建AuthorizationServer相关配置

@Configuration
@EnableWebSecurity
public class AuthorizationServerConfig {
   

    @Autowired
    private PasswordEncoder passwordEncoder;
    /**
     * 授权服务器 SecurityFilterChain
     * @param http
     * @return
     * @throws Exception
     */
    @Bean
    @Order(Ordered.HIGHEST_PRECEDENCE)
    public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http)
            throws Exception {
   
        OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
        http.getConfigurer(OAuth2AuthorizationServerConfigurer.class)
                .oidc(Customizer.withDefaults());  // Enable OpenID Connect 1.0

        http
                // 未从授权终结点进行身份验证时重定向到登录页面
                .exceptionHandling((exceptions) -> exceptions
                        .defaultAuthenticationEntryPointFor(
                                new LoginUrlAuthenticationEntryPoint("/login"),
                                new MediaTypeRequestMatcher(MediaType.TEXT_HTML)
                        )
                )
                // 接受用户信息和/或客户端注册的访问令牌
                .oauth2ResourceServer((resourceServer) -> resourceServer
                        .jwt(Customizer.withDefaults()));

        return http.build();
    }

    /**
     * 配置认证相关的过滤器链
     *
     * @param http spring security核心配置类
     * @return 过滤器链
     * @throws Exception 抛出
     */
    @Bean
    @Order(2)
    SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http) throws Exception {
   
        http.authorizeHttpRequests(authorizeRequests ->
                authorizeRequests
                // 允许的请求
                .requestMatchers(HttpMethod.GET, "/test").