Oauth 1.0一个消费者代码，相当于两次访问令牌

Question

响应为200，有效负载包括OAUTH_Token=A95D6305-4261-4C1D-A9B0-43411A0C2F2C&OAUTH_Token_Secret=573702D2-70CA-412C-84E5-868E9EE07169

但随后，它再次调用URL。

http://localhost:8080/app/ws/OAuth/token[OAuth oauth_consumer_key=“ITD79N64ZLWV5HHV”,oauth_nonce=“6C013EF9-2F3C-49DD-84FB-97DB73B5FB39”,oauth_signature=“5RTQE5XTCQUWEFVVYQJEXHH1EIO%3D”,oauth_signature_method=“HMAC-SHA1”,oauth_timestamp=“1458938403”,oauth_token=“981654”，oauth_verifier=“C56DE555-79DF-455E-AB87-F5F11B953FEF”，oauth_version=“1.0”

由于请求令牌已移除且访问令牌已发出，因此导致服务器上出现异常。

在逐步执行代码时，我可以看到OAuthConsumerContextFilter在第一次调用后存储访问令牌fine。

不知何故，筛选器链最终将它带着请求令牌带回到CoreOAuthConsumerSupport中的readResource。

发件人：applicationcontext.xml

    <bean id="oscarService" class="com.mdumontier.oscar.labline.service.OscarService">
        <property name="oscarRestTemplate">
            <bean class="org.springframework.security.oauth.consumer.client.OAuthRestTemplate">
                <constructor-arg ref="oscar" />
            </bean>
        </property>

    </bean>

 <security:authentication-manager>
    <security:authentication-provider>
      <security:user-service>
        <security:user name="marissa" password="wombat" authorities="ROLE_USER" />
        <security:user name="sam" password="kangaroo" authorities="ROLE_USER" />
      </security:user-service>
    </security:authentication-provider>
  </security:authentication-manager>

<security:http auto-config='true' >

  </security:http>



 <oauth:consumer resource-details-service-ref="resourceDetails" oauth-failure-page="/oauth_error.jsp">
    <oauth:url pattern="/oscar/**" resources="oscar"/>
  </oauth:consumer>


  <oauth:resource-details-service id="resourceDetails">
    <oauth:resource id="oscar"
                    key="itd79n64zlwv5hhv"
                    secret="d3psvmrn8k1xws9x"
                    request-token-url="http://localhost:8080/app/ws/oauth/initiate"
                    user-authorization-url="http://localhost:8080/app/ws/oauth/authorize"
                    access-token-url="http://localhost:8080/app/ws/oauth/token"/>
  </oauth:resource-details-service>

Answer 1

Spring Boot自动注册主应用程序过滤器链中实现过滤器的所有bean。有关更多细节，请参见:https://stackoverflow.com/a/28428154。

OAuth：Consumer helper将这两个OAuth过滤器注册为bean，似乎有一段时间没有更新。在最新的Spring Boot下，我甚至无法使XML配置正常工作。无论如何，这意味着两者都将运行两次，对于OAuthConsumerContextFilter，这是破坏性的，因为它将在安全子链之外运行，并且每次都失败。

要解决这个问题，您有两个选择。

第一，提示Spring Boot通过为其自动拾取的每个过滤器提供一个FilterRegistrationBean，以避免这种行为，如下所示：

@Bean
public FilterRegistrationBean registration(OAuthConsumerContextFilter filter) {
    FilterRegistrationBean registration = new FilterRegistrationBean(filter);
    registration.setEnabled(false);
    return registration;
}

第二，完全绕过XML配置，使用Java配置。我已经发布了一个完整的使用Java配置在Spring Boot中使用OAuth 1 consumer的工作代码示例，答案如下:https://stackoverflow.com/a/42143001/2848158

在Java配置中，您必须重复FilterRegistrationBean技巧，或者首先不将这些过滤器注册为bean，而是直接使用安全过滤器链创建和注册实例。