從JWT令牌

Question

獲取在春季啓動資源服務器主要我有一個單獨的auth服務器和資源服務器 - 無論是春啓動的應用程序。我正在使用OAuth2和JWT令牌進行身份驗證和授權。

我可以通過訪問auth服務器獲取令牌：

curl -X POST --user 'client:secret' -d 'grant_type=password&username=john&password=123' http://localhost:9000/auth-server/oauth/token 

和令牌附加到請求頭從資源服務器獲取資源（不同的服務器上運行）時使用它。

但是我不清楚的是，確定哪個用戶在資源服務器上登錄。

在auth服務器，我可以做這樣的事情：

@RequestMapping("/user") 
public Principal user(Principal user) { 
    return user; 
} 

與此端點將得到我的當前用戶基於使用的令牌。如果我試圖在資源服務器上做同樣的事情，我只會得到空的答覆。

我需要得到驗證用戶的ID以某種方式在資源服務器，以決定是否我應該有的數據返回給他（我有一些資源只能被其所有者訪問）。

我該怎麼做？我認爲通過使用JWT，我不需要共享相同的令牌存儲。

我可以提供代碼樣本，如果我的問題是不清楚..我只是尋找一個確認我的假設是正確的，就可以實現這種行爲 - 這是我第一次帶彈簧的安全試驗。

資源服務器鏈接到auth服務器在application.properties：

security.oauth2.resource.userInfoUri: http://localhost:9000/auth-server/user 

Answer 1

你的資源服務器不會自動奇蹟般地擺脫了身份驗證服務的主體。他們必須受到約束。將auth令牌插入標頭是正確的方法。但是，資源服務器必須「驗證」授權令牌。一旦您使用auth服務器驗證auth令牌，將返回Principal。

因此，您的資源服務器需要在您的auth服務器上調用「/ user」。

下面是一個例子。 http://technicalrex.com/2015/02/20/stateless-authentication-with-spring-security-and-jwt

Answer 2

難道我建議另一種方式？

你需要實現自己的令牌生成，幷包裝成令牌的用戶數據。所有你需要它將必要的用戶信息放入索賠對象。然後在資源服務器上解開它。

private Map<String, Object> getClaims(UserEntity user) { 
    Map<String, Object> claims = new HashMap<>(); 
    OffsetDateTime now = OffsetDateTime.now(clock); 
    OffsetDateTime exp = now.plusMinutes(1); 

    //Standard claims 
    claims(Claims.ISSUED_AT, Date.from(now.toInstant()).getTime()); 
    claims(Claims.EXPIRATION, Date.from(exp.toInstant()).getTime()); 
    claims(Claims.ID, UUID.randomUUID()); 

    //Private claims 
    claims("user.auth", getRoles(user.getRoles())); 

    //Clear fields that should not be stored in the token 
    claims("user.data", stripUserFields(getApiUser(user))); 

    return claims; 
} 

private String buildJwtToken(Claims claims, String secretKey) throws ApplicationException { 
    DefaultJwsHeader header = new DefaultJwsHeader(); 
    if (secretKey != null) { 
     header.setAlgorithm(ALGORITHM); 
    } 
    String base64EncodedJsonHeader = Base64Util.encode(toJson("header", header), true); 
    String base64EncodedJsonBody = Base64Util.encode(toJson("body", claims), true); 
    String base64UrlEncodedBaseToken = base64EncodedJsonHeader + "." + base64EncodedJsonBody; 
    String hexDigest = createHexDigest(base64UrlEncodedBaseToken, secretKey); 
    return base64UrlEncodedBaseToken + "." + Base64Util.encode(hexDigest, true); 
} 

我們使用的是io.jsonwebtoken庫。