OAuth 2.0 Bearer Tokens

Bearer Tokens解析

默认情况下，资源服务器会在 Authorization 请求头中查找 Bearer Token。 不过，这可以通过几种方式进行自定义。spring-doc.cadn.net.cn

从自定义标头读取 Bearer Tokens

例如，你可能需要从一个自定义请求头中读取 Bearer Token。 要实现这一点，你可以将 DefaultBearerTokenResolver 暴露为一个 Bean，或者将其实例注入到 DSL 中，如下例所示：spring-doc.cadn.net.cn

自定义 Bearer Token 请求头
@Bean
BearerTokenResolver bearerTokenResolver() {
    DefaultBearerTokenResolver bearerTokenResolver = new DefaultBearerTokenResolver();
    bearerTokenResolver.setBearerTokenHeaderName(HttpHeaders.PROXY_AUTHORIZATION);
    return bearerTokenResolver;
}
@Bean
fun bearerTokenResolver(): BearerTokenResolver {
    val bearerTokenResolver = DefaultBearerTokenResolver()
    bearerTokenResolver.setBearerTokenHeaderName(HttpHeaders.PROXY_AUTHORIZATION)
    return bearerTokenResolver
}
<http>
    <oauth2-resource-server bearer-token-resolver-ref="bearerTokenResolver"/>
</http>

<bean id="bearerTokenResolver"
        class="org.springframework.security.oauth2.server.resource.web.DefaultBearerTokenResolver">
    <property name="bearerTokenHeaderName" value="Proxy-Authorization"/>
</bean>

或者，在提供者同时使用自定义头部和值的情况下，你可以改用 HeaderBearerTokenResolver。spring-doc.cadn.net.cn

从表单参数读取 Bearer Token

或者，您可能希望从表单参数中读取Tokens，这可以通过配置 DefaultBearerTokenResolver 来实现，如下所示：spring-doc.cadn.net.cn

表单参数承载Tokens
DefaultBearerTokenResolver resolver = new DefaultBearerTokenResolver();
resolver.setAllowFormEncodedBodyParameter(true);
http
    .oauth2ResourceServer((oauth2) -> oauth2
        .bearerTokenResolver(resolver)
    );
val resolver = DefaultBearerTokenResolver()
resolver.setAllowFormEncodedBodyParameter(true)
http {
    oauth2ResourceServer {
        bearerTokenResolver = resolver
    }
}
<http>
    <oauth2-resource-server bearer-token-resolver-ref="bearerTokenResolver"/>
</http>

<bean id="bearerTokenResolver"
        class="org.springframework.security.oauth2.server.resource.web.HeaderBearerTokenResolver">
    <property name="allowFormEncodedBodyParameter" value="true"/>
</bean>

传播 Bearer Token

现在您的资源服务器已验证Tokens，将其传递给下游服务可能会很有用。 使用 ServletBearerExchangeFilterFunction 非常简单，如下示例所示：spring-doc.cadn.net.cn

@Bean
public WebClient rest() {
    return WebClient.builder()
            .filter(new ServletBearerExchangeFilterFunction())
            .build();
}
@Bean
fun rest(): WebClient {
    return WebClient.builder()
            .filter(ServletBearerExchangeFilterFunction())
            .build()
}

当上述 WebClient 用于执行请求时，Spring Security 将查找当前的 Authentication 并提取任何 AbstractOAuth2Token 凭证。 然后，它将在 Authorization 标头中传播该Tokens。spring-doc.cadn.net.cn

例如：spring-doc.cadn.net.cn

this.rest.get()
        .uri("https://other-service.example.com/endpoint")
        .retrieve()
        .bodyToMono(String.class)
        .block()
this.rest.get()
        .uri("https://other-service.example.com/endpoint")
        .retrieve()
        .bodyToMono<String>()
        .block()

将调用 other-service.example.com/endpoint，并自动为你添加 Bearer Token 的 Authorization 请求头。spring-doc.cadn.net.cn

在需要覆盖此行为的地方，只需自行提供该头部信息即可，如下所示：spring-doc.cadn.net.cn

this.rest.get()
        .uri("https://other-service.example.com/endpoint")
        .headers((headers) -> headers.setBearerAuth(overridingToken))
        .retrieve()
        .bodyToMono(String.class)
        .block()
this.rest.get()
        .uri("https://other-service.example.com/endpoint")
        .headers{  headers -> headers.setBearerAuth(overridingToken)}
        .retrieve()
        .bodyToMono<String>()
        .block()

在这种情况下，过滤器将回退并简单地将请求转发到 Web 过滤器链的其余部分。spring-doc.cadn.net.cn

与OAuth 2.0 客户端过滤器函数不同，此过滤器函数在Tokens过期时不会尝试对其进行续期。 若要获得此级别的支持，请使用 OAuth 2.0 客户端过滤器。

RestTemplate支持

目前还没有与 RestTemplate 对应的 ServletBearerExchangeFilterFunction 实现，但你可以通过自定义拦截器非常简单地传递请求的 bearer token：spring-doc.cadn.net.cn

@Bean
RestTemplate rest() {
	RestTemplate rest = new RestTemplate();
	rest.getInterceptors().add((request, body, execution) -> {
		Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
		if (authentication == null) {
			return execution.execute(request, body);
		}

		if (!(authentication.getCredentials() instanceof AbstractOAuth2Token)) {
			return execution.execute(request, body);
		}

		AbstractOAuth2Token token = (AbstractOAuth2Token) authentication.getCredentials();
	    request.getHeaders().setBearerAuth(token.getTokenValue());
	    return execution.execute(request, body);
	});
	return rest;
}
@Bean
fun rest(): RestTemplate {
    val rest = RestTemplate()
    rest.interceptors.add(ClientHttpRequestInterceptor { request, body, execution ->
        val authentication: Authentication? = SecurityContextHolder.getContext().authentication
        if (authentication == null) {
            return execution.execute(request, body)
        }

        if (authentication.credentials !is AbstractOAuth2Token) {
            return execution.execute(request, body)
        }

        request.headers.setBearerAuth(authentication.credentials.tokenValue)
        execution.execute(request, body)
    })
    return rest
}
与OAuth 2.0 授权客户端管理器不同，此过滤器拦截器在Tokens过期时不会尝试续订Tokens。 若要获得此级别的支持，请使用OAuth 2.0 授权客户端管理器创建一个拦截器。

Bearer Token 验证失败

Bearer Tokens可能因多种原因而无效。例如，该Tokens可能已不再处于激活状态。spring-doc.cadn.net.cn

在这种情况下，资源服务器会抛出一个 InvalidBearerTokenException 异常。 与其他异常一样，这会导致返回一个 OAuth 2.0 Bearer Token 错误响应：spring-doc.cadn.net.cn

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer error_code="invalid_token", error_description="Unsupported algorithm of none", error_uri="https://tools.ietf.org/html/rfc6750#section-3.1"

此外，它还会作为 AuthenticationFailureBadCredentialsEvent 发布，您可以在应用程序中监听该事件，如下所示：spring-doc.cadn.net.cn

@Component
public class FailureEvents {
	@EventListener
    public void onFailure(AuthenticationFailureBadCredentialsEvent badCredentials) {
		if (badCredentials.getAuthentication() instanceof BearerTokenAuthenticationToken) {
		    // ... handle
        }
    }
}
@Component
class FailureEvents {
    @EventListener
    fun onFailure(badCredentials: AuthenticationFailureBadCredentialsEvent) {
        if (badCredentials.authentication is BearerTokenAuthenticationToken) {
            // ... handle
        }
    }
}