Springboot JWT OAuth2 AngularJS无状态会话

Question

我正在尝试各种基于JavaSpring的安全实现，如下所示

1.JWT认证

• 用户访问
• Springboot标识为受保护的资源，并将用户重定向到 /login
• 用户输入凭据和浏览器做一个POST /authenticate
• 服务器验证凭据并生成JWT令牌。设置为响应标头并重定向到/
• 浏览器加载 /.AngularJS在响应标头中识别JWT令牌，并将其存储在本地存储中
• 所有后续调用都将在头中包含承载令牌（通过http pInterceptor注入）

注意：无状态会话

2.OAuth2身份验证

• 用户访问权限/
• Springboot将用户标识为受保护的资源，并将用户重定向到/login
• /Spring security拦截了登录名。重定向到具有生成状态的Oauth2授权服务器，并将URL重定向回应用程序
• 用户输入凭据
• Oauth服务器重定向回应用程序URL“/login？code=xxx

@RequestMapping(value= {"/user")
public ResponseEntity<Map<String, String>> user(Principal principal) throws Exception {
    OAuth2Authentication obj = (OAuth2Authentication) principal;
    authentication = obj.getUserAuthentication();
    OAuth2AuthenticationDetails oAuth2AuthenticationDetails = (OAuth2AuthenticationDetails) obj.getDetails();
    String jwt = oAuth2AuthenticationDetails.getTokenValue();

• 所有后续调用都将在请求中包含Cookie

注意：在服务器端创建一个有状态会话来存储会话详细信息。这是解密cookie和识别用户所必需的

现在，我想使用Oauth2JWT实现安全性，但同时无状态，如下所示

3.OAuth2 JWT无状态

• 用户访问
• Springboot标识为受保护的资源，并将用户重定向到 /login
• /登录被Spring Security系统接收。使用生成的状态重定向到OAuth2授权服务器，并将URL重定向回应用程序
• 用户输入凭据
• Oauth服务器重定向回应用程序URL"/登录？代码=xxx

• /Spring security拦截了登录名。识别代码和状态，通过调用OAuth2AuthenticationDetails提取JWT令牌。getTokenValue（）并在响应头中设置。重定向到/

• 浏览器加载 /.AngularJS在响应标头中识别JWT令牌，并将其存储在本地存储中
• 所有后续调用都将在头中包含承载令牌（通过http pInterceptor注入）

问题

我试图找出如何实现上面突出显示的步骤

Answer 1

这可能会帮助您实现所需的解决方案。

作者建议，一旦用户成功地使用OAuth2提供商（Google等）进行身份验证，您将一个短命令牌作为URL参数发送到前端应用程序，并使用这个短命令牌将其交换为长命令牌。

Answer 2

只是一个想法/方向，如果我让你正确：你可以创建一个GenericFilterBean并将其添加到HttpSecurity过滤器链。

当使用JWT时，应该有类似的东西（一个过滤器，它从报头中提取承载令牌），然后为Spring Security填充一个身份验证对象。

因此，新过滤器可以从请求中获取令牌并相应地设置响应。你也可以在不受保护的情况下处理（！）回调endpoint，如登录/回调 ，然后为您设置cookie。

在我们的应用程序中，服务器（Spring引导）是完全无状态的，没有任何oauth或有状态的东西。显然，除了AngularJS的/之外，它从未重定向任何内容或具有任何其他视图/终结点（以及/api/...下的一些REST-API）。因此，OAuth-flow完全由AngularJS处理，AngularJS反过来检查来自oauth-server的回调，并在本地设置JWT-Token（如第一种方法）。在最初的版本中，我们还试图将重定向与无状态JWT和有状态会话等混淆起来。，但是这导致了登录时非常奇怪的行为——状态（登录与否）并不总是清晰的，在某些情况下重定向是错误的等等。