跳到主要内容

OAuth 2.0 Bearer Tokens

QWen Max 中英对照 Bearer Tokens OAuth 2.0 Bearer Tokens

Bearer Token 解析​

默认情况下，资源服务器会在 Authorization 标头中查找承载令牌。然而，这可以通过几种方式进行自定义。

从自定义标头中读取 Bearer Token​

例如，你可能需要从自定义头中读取bearer token。要实现这一点，你可以将 DefaultBearerTokenResolver 暴露为一个bean，或者将其实例注入到DSL中，如下例所示：

@Bean
BearerTokenResolver bearerTokenResolver() {
    DefaultBearerTokenResolver bearerTokenResolver = new DefaultBearerTokenResolver();
    bearerTokenResolver.setBearerTokenHeaderName(HttpHeaders.PROXY_AUTHORIZATION);
    return bearerTokenResolver;
}
java

或者，在提供商同时使用自定义头部和值的情况下，您可以使用 HeaderBearerTokenResolver 代替。

从表单参数中读取 Bearer Token​

或者，你可能希望从表单参数中读取令牌，你可以通过配置 DefaultBearerTokenResolver 来实现这一点，如下所示：

DefaultBearerTokenResolver resolver = new DefaultBearerTokenResolver();
resolver.setAllowFormEncodedBodyParameter(true);
http
    .oauth2ResourceServer(oauth2 -> oauth2
        .bearerTokenResolver(resolver)
    );
java

Bearer Token 传播​

现在你的资源服务器已经验证了令牌，将其传递给下游服务可能会很有用。使用 ServletBearerExchangeFilterFunction 可以很容易地实现这一点，如下例所示：

@Bean
public WebClient rest() {
    return WebClient.builder()
            .filter(new ServletBearerExchangeFilterFunction())
            .build();
}
java

当上述 WebClient 用于执行请求时，Spring Security 将查找当前的 Authentication 并提取任何 AbstractOAuth2Token 凭据。然后，它将在 Authorization 头中传播该令牌。

例如：

this.rest.get()
        .uri("https://other-service.example.com/endpoint")
        .retrieve()
        .bodyToMono(String.class)
        .block()
java

将调用 [other-service.example.com/endpoint](https://other-service.example.com/endpoint)，并为你添加 Authorization 标头中的承载令牌。

在需要覆盖此行为的地方，只需自己提供头部即可，如下所示：

this.rest.get()
        .uri("https://other-service.example.com/endpoint")
        .headers(headers -> headers.setBearerAuth(overridingToken))
        .retrieve()
        .bodyToMono(String.class)
        .block()
java

在这种情况下，过滤器将回退并简单地将请求转发到其余的web过滤器链上。

备注

与 OAuth 2.0 Client 过滤器函数 不同，此过滤器函数不会尝试续订已过期的令牌。要获得这种级别的支持，请使用 OAuth 2.0 Client 过滤器。

RestTemplate 支持​

目前还没有与 ServletBearerExchangeFilterFunction 相当的 RestTemplate，但你可以使用自己的拦截器非常简单地传播请求的承载令牌：

@Bean
RestTemplate rest() {
    RestTemplate rest = new RestTemplate();
    rest.getInterceptors().add((request, body, execution) -> {
        Authentication authentication = SecurityContextHolder.getContext().getAuthentication();
        if (authentication == null) {
            return execution.execute(request, body);
        }

        if (!(authentication.getCredentials() instanceof AbstractOAuth2Token)) {
            return execution.execute(request, body);
        }

        AbstractOAuth2Token token = (AbstractOAuth2Token) authentication.getCredentials();
        request.getHeaders().setBearerAuth(token.getTokenValue());
        return execution.execute(request, body);
    });
    return rest;
}
java
备注

与 OAuth 2.0 授权客户端管理器 不同，此过滤器拦截器不会尝试续订已过期的令牌。要获得这种级别的支持，请使用 OAuth 2.0 授权客户端管理器 创建一个拦截器。

Bearer Token 失败​

承载令牌可能因多种原因而无效。例如，该令牌可能不再活跃。

在这种情况下，资源服务器会抛出一个 InvalidBearerTokenException。像其他异常一样，这会导致一个 OAuth 2.0 Bearer Token 错误响应：

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer error_code="invalid_token", error_description="Unsupported algorithm of none", error_uri="https://tools.ietf.org/html/rfc6750#section-3.1"
http

此外，它还被发布为 AuthenticationFailureBadCredentialsEvent，你可以在应用程序中监听该事件，如下所示：

@Component
public class FailureEvents {
    @EventListener
    public void onFailure(AuthenticationFailureBadCredentialsEvent badCredentials) {
        if (badCredentials.getAuthentication() instanceof BearerTokenAuthenticationToken) {
            // ... handle
        }
    }
}
java