没有client_secret的Spring Security OAuth 2.0

Question

我正在使用Spring Boot和Spring Security OAuth 2.0为我的Android应用程序开发一个登录系统。

我的出发点是以下演示存储库：https://github.com/royclarkson/spring-rest-service-oauth.在演示中，您可以找到以下设置：

OAuth2客户端：

clients
    .inMemory()
        .withClient("clientapp")
            .authorizedGrantTypes("password", "refresh_token")
            .authorities("USER")
            .scopes("read", "write")
            .resourceIds(RESOURCE_ID)
            .secret("123456");

方法在其测试中获取访问令牌：

private String getAccessToken(String username, String password) throws Exception {
    String authorization = "Basic " + new String(Base64Utils.encode("clientapp:123456".getBytes()));

    String content = mvc
        .perform(
                post("/oauth/token")
                        .header("Authorization", authorization)
                        .contentType(MediaType.APPLICATION_FORM_URLENCODED)
                        .param("username", username)
                        .param("password", password)
                        .param("grant_type", "password")
                        .param("scope", "read write")
                        .param("client_id", "clientapp")
                        .param("client_secret", "123456"))
        .andExpect(status().isOk())
        .andReturn().getResponse().getContentAsString();

    return content.substring(17, 53);
}

项目中的每个测试都提供了完美的工作方式，但我想做不同的事情，我在这样做时遇到了困难。正如你所看到的，演示客户端定义了一个client_secret（这也在测试中使用），但是client_secret在Android环境中真的毫无价值，我不能保证它的“私密性”。

看见https://apigility.org/documentation/auth/authentication-oauth2:

如果我们使用公共客户端（默认情况下，当没有秘密与客户端相关联时，这是真的），您可以省略client_secret值；

见https://datatracker.ietf.org/doc/html/draft-ietf-oauth-v2-31#section-2.1：

Public：无法维护其凭据机密性的客户端（例如，在资源所有者使用的设备上执行的客户端，如安装的本机应用程序或基于web浏览器的应用程序），以及无法通过任何其他方式进行安全的客户端身份验证。

因此，我所做的是删除客户端配置中的秘密：

clients
    .inMemory()
        .withClient("books_password_client")
        .authorizedGrantTypes("password", "refresh_token")
        .authorities("USER")
        .scopes("read", "write")
        .resourceIds(RESOURCE_ID);

还改编了getAccessToken（...）方法：

private String getAccessToken(String username, String password) throws Exception {
    String authorization = "Basic " + new String(Base64Utils.encode("books_password_client:123456".getBytes()));

    String content = mvc
        .perform(
                post("/oauth/token")
                        .contentType(MediaType.APPLICATION_FORM_URLENCODED)
                        .param("username", username)
                        .param("password", password)
                        .param("grant_type", "password")
                        .param("client_id", "books_password_client"))
        .andExpect(status().isOk())
        .andReturn().getResponse().getContentAsString();

    return content.substring(17, 53);}
}

但当我使用这个新设置时，我的测试失败了，我无法获得访问令牌，我不断收到HTTP错误。

Answer 1

这就是我的工作：

Response response =
    given().
        auth()
            .preemptive().basic("clientapp", "")
            .formParam("username", username)
            .formParam("password", password)
            .formParam("grant_type", "password")
            .formParam("scope", "read%20write")
    when()
        .post("/oauth/token").
    then()
        .extract().response();