使用 OAuth2 在Spring安全中进行用户授权

Question

我目前正在研究带有Spring安全和Spring启动的 OAuth2。虽然这个协议的概念对我来说很清楚，但实现细节不是（spring没有提供很多示例和教程）。因此，我将非常感谢回答以下问题：

>

“密码”授权类型的用途是什么？OAuth2规范没有提到它。它只是某种“授权快捷方式”的 Spring 实现吗？

资源服务器如何处理访问令牌（检查它是否仍然有效、范围等）？我是否需要实现某些东西，或者它是由Spring Security和ResourceServerConfig提供的？

RS 如何知道哪个用户（不是客户端）请求了资源？具体的用户资源绑定了id、唯一的用户名等，token有这种信息吗？如何检索它以便在资源中使用的控制器？

授权服务器（如果我错了，请纠正我）能够检查客户端应用程序是否有权请求的资源。据我了解，它不应该知道用户（资源所有者）。在我通过谷歌，Facebook或其他一些服务进行身份验证的情况下，用户身份验证是他们的情况。如果 OAuth2 和资源服务器是一个应用程序（我目前正在开发这样的应用程序用于测试目的），那么我应该将 UserDetailsService 放在哪里呢？以及如何组合它以授权客户端（在本例中从应用程序生成的 js）首先，然后是用户（资源所有者）并生成令牌？目前，我已经实现了ClientDetailService并注入到配置中。我应该在哪里注入UserDetailService？

@Configuration
@EnableAuthorizationServer
public class OAuth2Config extends AuthorizationServerConfigurerAdapter {

@Autowired
private AuthenticationManager authenticationManager;
@Autowired
private MongoClientDetailsService cds;

@Override
public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
    endpoints.authenticationManager(authenticationManager);
}

@Override
public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
    clients.withClientDetails(cds);
}
}

是否有一些JS库可以帮助自定义应用程序的授权流程，例如hello.js支持（据我所知）众所周知的服务？

任何帮助将不胜感激：）

Answer 1

这是很多问题;让我先回答3：

>

带有值 password 的grant_type是资源所有者密码凭据授权类型的官方保留值，如此处的规范所示： https://www.rfc-editor.org/rfc/rfc6749#section-4.3.2，因此它不是特定于 Spring 或自定义的

如果令牌是自包含和结构化的（例如 JWT），RS 可以验证令牌本身，否则它将需要对授权服务器进行回调以验证它

步骤 2 的验证结果。可能包括有关授予客户端访问权限的用户（或：资源所有者）的信息