为什么我的JdbcTokenStore会序列化Java对象？

Question

所以我只是从InMemoryTokenStore移动到JdbcTokenStore。像往常一样，一个看似简单的变化之后是一些副作用，包括吞下异常——抱歉咆哮。

这是我过去访问用户主体的方式：

Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
String username = (String) authentication.getPrincipal();

出于某种原因，getPrincipal（）总是只返回用户名，而不是UserDetails对象。这对我来说已经足够好了，所以我就这么做了。

现在我已经更改了令牌存储，getMain（）确实返回了User细节对象。我可以忍受这一点，但我想知道为什么这突然改变了——因为这一点，我不得不重构一些代码，因为到目前为止，我一直期望用户名来自get主体（）。我也想知道我是否能改变这一点。

在我看来，JdbcTokenStore似乎可以序列化Java对象。它试图序列化标记对象和用户详细信息对象。token和authentication列似乎代表了这些序列化对象，我想理解为什么这实际上是必要的。毕竟，这些信息可以在启动/运行时从数据库中恢复。当然除了标记，但我不明白为什么他们不存储标记（字符串），而是存储对象。

最重要的是：对这些类中的任何一个进行最轻微的更改，它们都不会被反序列化！如果其中一个类被更改，每个用户都将被迫重新登录，这与我想首先使用JdbcTokenStore的原因不符——所以一定有可疑的东西，否则我就不知道了。

也许有人能对此有更多的了解。

Answer 1

看着你的咆哮，再看看你的代码，我也有点惊讶！它在封面下做的实际上是序列化对象（就像你建议的！）变成一个看起来很不友好的对象字符串：

protected byte[] serializeAccessToken(OAuth2AccessToken token) {
    return SerializationUtils.serialize(token);
}

看起来人们应该做的（我不确定他们为什么没有在文档中指出这一点）是覆盖JdbcTokenStore中的*serialize方法：

protected OAuth2AccessToken deserializeAccessToken(byte[] token) 
protected OAuth2Authentication  deserializeAuthentication(byte[] authentication) 
protected OAuth2RefreshToken    deserializeRefreshToken(byte[] token) 
protected byte[] serializeAccessToken(OAuth2AccessToken token) 
protected byte[] serializeAuthentication(OAuth2Authentication authentication) 
protected byte[] serializeRefreshToken(OAuth2RefreshToken token)

这可能就是他们都受到保护的原因。实施过程可能如下所示：

class JacksonJdbcTokenStore extends JdbcTokenStore {

    private ObjectMapper mapper;

    public JdbcTokenStore(ObjectMapper mapper, DataSource dataSource) {
        this.mapper = mapper;
        super(dataSource);
    }

    protected byte[] serializeAuthentication(OAuth2Authentication authentication) 
    {
        return mapper.writeValueAsBytes(authentication);
    }

    protected OAuth2Authentication deserializeAuthentication(byte[] authentication) {
        return mapper.read(authentication, OAuth2Authentication.class);
    }

    // Same type of thing for the other serialize/deserialize operations...

}

我实际上还没有尝试或测试上面的代码，您可能不得不摆弄序列化规则，但我只能告诉您这些。

我可以对你这种奇怪的默认行为表示同情，但我不明白你为什么会在这里做错什么。我只能说这么多了！

仅供参考，对于第一个问题，我并不惊讶这些不同的实现可能会返回不同的主体，这对于身份验证实现来说是正常的，而Spring就是这样做的。