oauth令牌终结点的密码

Question

我正在尝试将OAuth添加到使用Spring框架开发的rest服务中。我正在使用基于注释的配置和Spring Boot来运行它。

在我的项目中，我有以下课程：

@Configuration
@EnableWebSecurity
@Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
public class SecuritySettings extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("admin").password("123").authorities("ROLE_USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().anyRequest().authenticated()
            .and().httpBasic().and().csrf().disable();
    }
}

我的授权服务器配置如下：

@Configuration
@EnableAuthorizationServer
public static class MyAuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter {

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory().withClient("web")
                .authorizedGrantTypes("password")
                .authorities("ROLE_CLIENT","ROLE_TRUSTED_CLIENT","ROLE_USER")
                .scopes("read", "write")
                .resourceIds(RESOURCE_ID);
    }
 }

当我向终端发出GET请求时，我被要求输入HTTP基本凭据。当我尝试使用admin用户登录时，以下内容会被记录下来

o.s.s.o.provider.endpoint.TokenEndpoint  : Handling error: NoSuchClientException, No client with requested id: admin

输入用户名为web工作，但我不知道它的密码。默认密码被记录，但也不起作用。

Using default security password: f23087f8-58ce-e3d-bc62-58bf0963e75c

那么这个密码是什么？我在哪里能找到它？我如何设置它？

Answer 1

这是OAuth访问令牌。它基于用户登录和密码，用于访问受保护的资源。URL"/oauth/Token"用于获取访问令牌，而不是可用的请求令牌。此请求在请求令牌秘密的基础上进行数字签名。

Oauth协议以以下方式使用此访问令牌：

>

用户在服务提供商的站点上被重定向，并在那里授权请求令牌。（如果通过Http basic进行授权，则应添加名为“authorization”和值为“basic EncodeBase64（“name:password”）”的请求头，其中EncodeBase64是一个函数，“name”和“password”是用户名和用户密码。

应用程序-消费者交换请求访问令牌上的令牌。

应用程序消费者向服务的API发送授权请求。

在OAuth 2开发者指南和Spring社交参考中找不到其他信息

我希望你已经得到了你问题的答案（或者更接近它）。=）

Answer 2

您正在使用的API来自此生成器类。

令牌终结点由客户端应用程序用于请求资源的访问令牌。它不被浏览器终端用户使用。OAuth2客户端通常被分配一个“客户端秘密”，他们可以使用该秘密在endpoint进行身份验证，通常使用OAuth 2.0规范中描述的基本身份验证。

因此，为了回答您的特定问题，您将在builder API上使用“secret”方法，并使用该值作为客户端进行身份验证：

clients.inMemory().withClient("web")
    .authorizedGrantTypes("password")
    .secret("webclientsecret")
    ...

此外，“密码”授予意味着客户端使用最终用户ID和密码请求令牌，只是为了确保这是您真正想要的。这与密码问题无关。