apache oauth2 集成

原文地址：http://jinnianshilongnian.iteye.com/blog/2038646

OAuth2是OAuth協議的下一個版本，相比OAuth1，OAuth2整個授權流程更簡單安全了，但不兼容OAuth1，具體可以到OAuth2官網http://oauth.net/2/查看，OAuth2協議規範可以參考http://tools.ietf.org/html/rfc6749。目前有好多參考實現供選擇，可以到其官網查看下載。

本文使用Apache Oltu，其之前的名字叫Apache Amber ，是Java版的參考實現。使用文檔可參考https://cwiki.apache.org/confluence/display/OLTU/Documentation。

OAuth角色

資源擁有者（resource owner）：能授權訪問受保護資源的一個實體，可以是一個人，那我們稱之爲最終用戶；如新浪微博用戶zhangsan；

資源服務器（resource server）：存儲受保護資源，客戶端通過access token請求資源，資源服務器響應受保護資源給客戶端；存儲着用戶zhangsan的微博等信息。

授權服務器（authorization server）：成功驗證資源擁有者並獲取授權之後，授權服務器頒發授權令牌（Access Token）給客戶端。

客戶端（client）：如新浪微博客戶端weico、微格等第三方應用，也可以是它自己的官方應用；其本身不存儲資源，而是資源擁有者授權通過後，使用它的授權（授權令牌）訪問受保護資源，然後客戶端把相應的數據展示出來/提交到服務器。“客戶端”術語不代表任何特定實現（如應用運行在一臺服務器、桌面、手機或其他設備）。

OAuth2協議流程

1、客戶端從資源擁有者那請求授權。授權請求可以直接發給資源擁有者，或間接的通過授權服務器這種中介，後者更可取。

2、客戶端收到一個授權許可，代表資源服務器提供的授權。

3、客戶端使用它自己的私有證書及授權許可到授權服務器驗證。

4、如果驗證成功，則下發一個訪問令牌。

5、客戶端使用訪問令牌向資源服務器請求受保護資源。

6、資源服務器會驗證訪問令牌的有效性，如果成功則下發受保護資源。

更多流程的解釋請參考OAuth2的協議規範http://tools.ietf.org/html/rfc6749。

服務器端

本文把授權服務器和資源服務器整合在一起實現。

POM依賴

此處我們使用apache oltu oauth2服務端實現，需要引入authzserver（授權服務器依賴）和resourceserver（資源服務器依賴）。

Java代碼

<dependency>
<groupId>org.apache.oltu.oauth2</groupId>
<artifactId>org.apache.oltu.oauth2.authzserver</artifactId>
<version>0.31</version>
</dependency>
<dependency>
<groupId>org.apache.oltu.oauth2</groupId>
<artifactId>org.apache.oltu.oauth2.resourceserver</artifactId>
<version>0.31</version>
</dependency>

其他的請參考pom.xml。

數據字典

用戶(oauth2_user)

名稱	類型	長度	描述
id	bigint	10	編號主鍵
username	varchar	100	用戶名
password	varchar	100	密碼
salt	varchar	50	鹽

客戶端(oauth2_client)

名稱	類型	長度	描述
id	bigint	10	編號主鍵
client_name	varchar	100	客戶端名稱
client_id	varchar	100	客戶端id
client_secret	varchar	100	客戶端安全key

用戶表存儲着認證/資源服務器的用戶信息，即資源擁有者；比如用戶名/密碼；客戶端表存儲客戶端的的客戶端id及客戶端安全key；在進行授權時使用。

表及數據SQL

具體請參考

sql/ shiro-schema.sql （表結構）

sql/ shiro-data.sql （初始數據）

默認用戶名/密碼是admin/123456。

實體

具體請參考com.github.zhangkaitao.shiro.chapter17.entity包下的實體，此處就不列舉了。

DAO

具體請參考com.github.zhangkaitao.shiro.chapter17.dao包下的DAO接口及實現。

Service

具體請參考com.github.zhangkaitao.shiro.chapter17.service包下的Service接口及實現。以下是出了基本CRUD之外的關鍵接口：

Java代碼

public interface UserService {
public User createUser(User user);// 創建用戶
public User updateUser(User user);// 更新用戶
public void deleteUser(Long userId);// 刪除用戶
public void changePassword(Long userId, String newPassword); //修改密碼
User findOne(Long userId);// 根據id查找用戶
List<User> findAll();// 得到所有用戶
public User findByUsername(String username);// 根據用戶名查找用戶
}

Java代碼

public interface ClientService {
public Client createClient(Client client);// 創建客戶端
public Client updateClient(Client client);// 更新客戶端
public void deleteClient(Long clientId);// 刪除客戶端
Client findOne(Long clientId);// 根據id查找客戶端
List<Client> findAll();// 查找所有
Client findByClientId(String clientId);// 根據客戶端id查找客戶端
Client findByClientSecret(String clientSecret);//根據客戶端安全KEY查找客戶端
}

Java代碼

public interface OAuthService {
public void addAuthCode(String authCode, String username);// 添加 auth code
public void addAccessToken(String accessToken, String username); // 添加 access token
boolean checkAuthCode(String authCode); // 驗證auth code是否有效
boolean checkAccessToken(String accessToken); // 驗證access token是否有效
String getUsernameByAuthCode(String authCode);// 根據auth code獲取用戶名
String getUsernameByAccessToken(String accessToken);// 根據access token獲取用戶名
long getExpireIn();//auth code / access token 過期時間
public boolean checkClientId(String clientId);// 檢查客戶端id是否存在
public boolean checkClientSecret(String clientSecret);// 堅持客戶端安全KEY是否存在
}

此處通過OAuthService實現進行auth code和access token的維護。

後端數據維護控制器

具體請參考com.github.zhangkaitao.shiro.chapter17.web.controller包下的IndexController、LoginController、UserController和ClientController，其用於維護後端的數據，如用戶及客戶端數據；即相當於後臺管理。

授權控制器AuthorizeController

Java代碼

@Controller
public class AuthorizeController {
@Autowired
private OAuthService oAuthService;
@Autowired
private ClientService clientService;
@RequestMapping("/authorize")
public Object authorize(Model model, HttpServletRequest request)
throws URISyntaxException, OAuthSystemException {
try {
//構建OAuth 授權請求
OAuthAuthzRequest oauthRequest = new OAuthAuthzRequest(request);
//檢查傳入的客戶端id是否正確
if (!oAuthService.checkClientId(oauthRequest.getClientId())) {
OAuthResponse response = OAuthASResponse
.errorResponse(HttpServletResponse.SC_BAD_REQUEST)
.setError(OAuthError.TokenResponse.INVALID_CLIENT)
.setErrorDescription(Constants.INVALID_CLIENT_DESCRIPTION)
.buildJSONMessage();
return new ResponseEntity(
response.getBody(), HttpStatus.valueOf(response.getResponseStatus()));
}
Subject subject = SecurityUtils.getSubject();
//如果用戶沒有登錄，跳轉到登陸頁面
if(!subject.isAuthenticated()) {
if(!login(subject, request)) {//登錄失敗時跳轉到登陸頁面
model.addAttribute("client",
clientService.findByClientId(oauthRequest.getClientId()));
return "oauth2login";
}
}
String username = (String)subject.getPrincipal();
//生成授權碼
String authorizationCode = null;
//responseType目前僅支持CODE，另外還有TOKEN
String responseType = oauthRequest.getParam(OAuth.OAUTH_RESPONSE_TYPE);
if (responseType.equals(ResponseType.CODE.toString())) {
OAuthIssuerImpl oauthIssuerImpl = new OAuthIssuerImpl(new MD5Generator());
authorizationCode = oauthIssuerImpl.authorizationCode();
oAuthService.addAuthCode(authorizationCode, username);
}
//進行OAuth響應構建
OAuthASResponse.OAuthAuthorizationResponseBuilder builder =
OAuthASResponse.authorizationResponse(request,
HttpServletResponse.SC_FOUND);
//設置授權碼
builder.setCode(authorizationCode);
//得到到客戶端重定向地址
String redirectURI = oauthRequest.getParam(OAuth.OAUTH_REDIRECT_URI);
//構建響應
final OAuthResponse response = builder.location(redirectURI).buildQueryMessage();
//根據OAuthResponse返回ResponseEntity響應
HttpHeaders headers = new HttpHeaders();
headers.setLocation(new URI(response.getLocationUri()));
return new ResponseEntity(headers, HttpStatus.valueOf(response.getResponseStatus()));
} catch (OAuthProblemException e) {
//出錯處理
String redirectUri = e.getRedirectUri();
if (OAuthUtils.isEmpty(redirectUri)) {
//告訴客戶端沒有傳入redirectUri直接報錯
return new ResponseEntity(
"OAuth callback url needs to be provided by client!!!", HttpStatus.NOT_FOUND);
}
//返回錯誤消息（如?error=）
final OAuthResponse response =
OAuthASResponse.errorResponse(HttpServletResponse.SC_FOUND)
.error(e).location(redirectUri).buildQueryMessage();
HttpHeaders headers = new HttpHeaders();
headers.setLocation(new URI(response.getLocationUri()));
return new ResponseEntity(headers, HttpStatus.valueOf(response.getResponseStatus()));
}
}
private boolean login(Subject subject, HttpServletRequest request) {
if("get".equalsIgnoreCase(request.getMethod())) {
return false;
}
String username = request.getParameter("username");
String password = request.getParameter("password");
if(StringUtils.isEmpty(username) || StringUtils.isEmpty(password)) {
return false;
}
UsernamePasswordToken token = new UsernamePasswordToken(username, password);
try {
subject.login(token);
return true;
} catch (Exception e) {
request.setAttribute("error", "登錄失敗:" + e.getClass().getName());
return false;
}
}
}

如上代碼的作用：

1、首先通過如http://localhost:8080/chapter17-server/authorize

?client_id=c1ebe466-1cdc-4bd3-ab69-77c3561b9dee&response_type=code&redirect_uri=http://localhost:9080/chapter17-client/oauth2-login訪問授權頁面；

2、該控制器首先檢查clientId是否正確；如果錯誤將返回相應的錯誤信息；

3、然後判斷用戶是否登錄了，如果沒有登錄首先到登錄頁面登錄；

4、登錄成功後生成相應的auth code即授權碼，然後重定向到客戶端地址，如http://localhost:9080/chapter17-client/oauth2-login?code=52b1832f5dff68122f4f00ae995da0ed；在重定向到的地址中會帶上code參數（授權碼），接着客戶端可以根據授權碼去換取access token。

訪問令牌控制器AccessTokenController

Java代碼

@RestController
public class AccessTokenController {
@Autowired
private OAuthService oAuthService;
@Autowired
private UserService userService;
@RequestMapping("/accessToken")
public HttpEntity token(HttpServletRequest request)
throws URISyntaxException, OAuthSystemException {
try {
//構建OAuth請求
OAuthTokenRequest oauthRequest = new OAuthTokenRequest(request);
//檢查提交的客戶端id是否正確
if (!oAuthService.checkClientId(oauthRequest.getClientId())) {
OAuthResponse response = OAuthASResponse
.errorResponse(HttpServletResponse.SC_BAD_REQUEST)
.setError(OAuthError.TokenResponse.INVALID_CLIENT)
.setErrorDescription(Constants.INVALID_CLIENT_DESCRIPTION)
.buildJSONMessage();
return new ResponseEntity(
response.getBody(), HttpStatus.valueOf(response.getResponseStatus()));
}
// 檢查客戶端安全KEY是否正確
if (!oAuthService.checkClientSecret(oauthRequest.getClientSecret())) {
OAuthResponse response = OAuthASResponse
.errorResponse(HttpServletResponse.SC_UNAUTHORIZED)
.setError(OAuthError.TokenResponse.UNAUTHORIZED_CLIENT)
.setErrorDescription(Constants.INVALID_CLIENT_DESCRIPTION)
.buildJSONMessage();
return new ResponseEntity(
response.getBody(), HttpStatus.valueOf(response.getResponseStatus()));
}
String authCode = oauthRequest.getParam(OAuth.OAUTH_CODE);
// 檢查驗證類型，此處只檢查AUTHORIZATION_CODE類型，其他的還有PASSWORD或REFRESH_TOKEN
if (oauthRequest.getParam(OAuth.OAUTH_GRANT_TYPE).equals(
GrantType.AUTHORIZATION_CODE.toString())) {
if (!oAuthService.checkAuthCode(authCode)) {
OAuthResponse response = OAuthASResponse
.errorResponse(HttpServletResponse.SC_BAD_REQUEST)
.setError(OAuthError.TokenResponse.INVALID_GRANT)
.setErrorDescription("錯誤的授權碼")
.buildJSONMessage();
return new ResponseEntity(
response.getBody(), HttpStatus.valueOf(response.getResponseStatus()));
}
}
//生成Access Token
OAuthIssuer oauthIssuerImpl = new OAuthIssuerImpl(new MD5Generator());
final String accessToken = oauthIssuerImpl.accessToken();
oAuthService.addAccessToken(accessToken,
oAuthService.getUsernameByAuthCode(authCode));
//生成OAuth響應
OAuthResponse response = OAuthASResponse
.tokenResponse(HttpServletResponse.SC_OK)
.setAccessToken(accessToken)
.setExpiresIn(String.valueOf(oAuthService.getExpireIn()))
.buildJSONMessage();
//根據OAuthResponse生成ResponseEntity
return new ResponseEntity(
response.getBody(), HttpStatus.valueOf(response.getResponseStatus()));
} catch (OAuthProblemException e) {
//構建錯誤響應
OAuthResponse res = OAuthASResponse
.errorResponse(HttpServletResponse.SC_BAD_REQUEST).error(e)
.buildJSONMessage();
return new ResponseEntity(res.getBody(), HttpStatus.valueOf(res.getResponseStatus()));
}
}
}

如上代碼的作用：

1、首先通過如http://localhost:8080/chapter17-server/accessToken，POST提交如下數據：client_id= c1ebe466-1cdc-4bd3-ab69-77c3561b9dee& client_secret= d8346ea2-6017-43ed-ad68-19c0f971738b&grant_type=authorization_code&code=828beda907066d058584f37bcfd597b6&redirect_uri=http://localhost:9080/chapter17-client/oauth2-login訪問；

2、該控制器會驗證client_id、client_secret、auth code的正確性，如果錯誤會返回相應的錯誤；

3、如果驗證通過會生成並返回相應的訪問令牌access token。

資源控制器UserInfoController

Java代碼

@RestController
public class UserInfoController {
@Autowired
private OAuthService oAuthService;
@RequestMapping("/userInfo")
public HttpEntity userInfo(HttpServletRequest request) throws OAuthSystemException {
try {
//構建OAuth資源請求
OAuthAccessResourceRequest oauthRequest =
new OAuthAccessResourceRequest(request, ParameterStyle.QUERY);
//獲取Access Token
String accessToken = oauthRequest.getAccessToken();
//驗證Access Token
if (!oAuthService.checkAccessToken(accessToken)) {
// 如果不存在/過期了，返回未驗證錯誤，需重新驗證
OAuthResponse oauthResponse = OAuthRSResponse
.errorResponse(HttpServletResponse.SC_UNAUTHORIZED)
.setRealm(Constants.RESOURCE_SERVER_NAME)
.setError(OAuthError.ResourceResponse.INVALID_TOKEN)
.buildHeaderMessage();
HttpHeaders headers = new HttpHeaders();
headers.add(OAuth.HeaderType.WWW_AUTHENTICATE,
oauthResponse.getHeader(OAuth.HeaderType.WWW_AUTHENTICATE));
return new ResponseEntity(headers, HttpStatus.UNAUTHORIZED);
}
//返回用戶名
String username = oAuthService.getUsernameByAccessToken(accessToken);
return new ResponseEntity(username, HttpStatus.OK);
} catch (OAuthProblemException e) {
//檢查是否設置了錯誤碼
String errorCode = e.getError();
if (OAuthUtils.isEmpty(errorCode)) {
OAuthResponse oauthResponse = OAuthRSResponse
.errorResponse(HttpServletResponse.SC_UNAUTHORIZED)
.setRealm(Constants.RESOURCE_SERVER_NAME)
.buildHeaderMessage();
HttpHeaders headers = new HttpHeaders();
headers.add(OAuth.HeaderType.WWW_AUTHENTICATE,
oauthResponse.getHeader(OAuth.HeaderType.WWW_AUTHENTICATE));
return new ResponseEntity(headers, HttpStatus.UNAUTHORIZED);
}
OAuthResponse oauthResponse = OAuthRSResponse
.errorResponse(HttpServletResponse.SC_UNAUTHORIZED)
.setRealm(Constants.RESOURCE_SERVER_NAME)
.setError(e.getError())
.setErrorDescription(e.getDescription())
.setErrorUri(e.getUri())
.buildHeaderMessage();
HttpHeaders headers = new HttpHeaders();
headers.add(OAuth.HeaderType.WWW_AUTHENTICATE, 、
oauthResponse.getHeader(OAuth.HeaderType.WWW_AUTHENTICATE));
return new ResponseEntity(HttpStatus.BAD_REQUEST);
}
}
}

如上代碼的作用：

1、首先通過如http://localhost:8080/chapter17-server/userInfo? access_token=828beda907066d058584f37bcfd597b6進行訪問；

2、該控制器會驗證access token的有效性；如果無效了將返回相應的錯誤，客戶端再重新進行授權；

3、如果有效，則返回當前登錄用戶的用戶名。

Spring配置文件

具體請參考resources/spring*.xml，此處只列舉spring-config-shiro.xml中的shiroFilter的filterChainDefinitions屬性：

Java代碼

<property name="filterChainDefinitions">
<value>
/ = anon
/login = authc
/logout = logout
/authorize=anon
/accessToken=anon
/userInfo=anon
/** = user
</value>
</property>

對於oauth2的幾個地址/authorize、/accessToken、/userInfo都是匿名可訪問的。

其他源碼請直接下載文檔查看。

服務器維護

訪問localhost:8080/chapter17-server/，登錄後進行客戶端管理和用戶管理。

客戶端管理就是進行客戶端的註冊，如新浪微博的第三方應用就需要到新浪微博開發平臺進行註冊；用戶管理就是進行如新浪微博用戶的管理。

對於授權服務和資源服務的實現可以參考新浪微博開發平臺的實現：

http://open.weibo.com/wiki/授權機制說明

http://open.weibo.com/wiki/微博API

客戶端

客戶端流程：如果需要登錄首先跳到oauth2服務端進行登錄授權，成功後服務端返回auth code，然後客戶端使用auth code去服務器端換取access token，最好根據access token獲取用戶信息進行客戶端的登錄綁定。這個可以參照如很多網站的新浪微博登錄功能，或其他的第三方帳號登錄功能。

POM依賴

此處我們使用apache oltu oauth2客戶端實現。

Java代碼

<dependency>
<groupId>org.apache.oltu.oauth2</groupId>
<artifactId>org.apache.oltu.oauth2.client</artifactId>
<version>0.31</version>
</dependency>

其他的請參考pom.xml。

OAuth2Token

類似於UsernamePasswordToken和CasToken；用於存儲oauth2服務端返回的auth code。

Java代碼

public class OAuth2Token implements AuthenticationToken {
private String authCode;
private String principal;
public OAuth2Token(String authCode) {
this.authCode = authCode;
}
//省略getter/setter
}

OAuth2AuthenticationFilter

該filter的作用類似於FormAuthenticationFilter用於oauth2客戶端的身份驗證控制；如果當前用戶還沒有身份驗證，首先會判斷url中是否有code（服務端返回的auth code），如果沒有則重定向到服務端進行登錄並授權，然後返回auth code；接着OAuth2AuthenticationFilter會用auth code創建OAuth2Token，然後提交給Subject.login進行登錄；接着OAuth2Realm會根據OAuth2Token進行相應的登錄邏輯。

Java代碼

public class OAuth2AuthenticationFilter extends AuthenticatingFilter {
//oauth2 authc code參數名
private String authcCodeParam = "code";
//客戶端id
private String clientId;
//服務器端登錄成功/失敗後重定向到的客戶端地址
private String redirectUrl;
//oauth2服務器響應類型
private String responseType = "code";
private String failureUrl;
//省略setter
protected AuthenticationToken createToken(ServletRequest request, ServletResponse response) throws Exception {
HttpServletRequest httpRequest = (HttpServletRequest) request;
String code = httpRequest.getParameter(authcCodeParam);
return new OAuth2Token(code);
}
protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {
return false;
}
protected boolean onAccessDenied(ServletRequest request, ServletResponse response) throws Exception {
String error = request.getParameter("error");
String errorDescription = request.getParameter("error_description");
if(!StringUtils.isEmpty(error)) {//如果服務端返回了錯誤
WebUtils.issueRedirect(request, response, failureUrl + "?error=" + error + "error_description=" + errorDescription);
return false;
}
Subject subject = getSubject(request, response);
if(!subject.isAuthenticated()) {
if(StringUtils.isEmpty(request.getParameter(authcCodeParam))) {
//如果用戶沒有身份驗證，且沒有auth code，則重定向到服務端授權
saveRequestAndRedirectToLogin(request, response);
return false;
}
}
//執行父類裏的登錄邏輯，調用Subject.login登錄
return executeLogin(request, response);
}
//登錄成功後的回調方法重定向到成功頁面
protected boolean onLoginSuccess(AuthenticationToken token, Subject subject, ServletRequest request, ServletResponse response) throws Exception {
issueSuccessRedirect(request, response);
return false;
}
//登錄失敗後的回調
protected boolean onLoginFailure(AuthenticationToken token, AuthenticationException ae, ServletRequest request,
ServletResponse response) {
Subject subject = getSubject(request, response);
if (subject.isAuthenticated() || subject.isRemembered()) {
try { //如果身份驗證成功了則也重定向到成功頁面
issueSuccessRedirect(request, response);
} catch (Exception e) {
e.printStackTrace();
}
} else {
try { //登錄失敗時重定向到失敗頁面
WebUtils.issueRedirect(request, response, failureUrl);
} catch (IOException e) {
e.printStackTrace();
}
}
return false;
}
}

該攔截器的作用：

1、首先判斷有沒有服務端返回的error參數，如果有則直接重定向到失敗頁面；

2、接着如果用戶還沒有身份驗證，判斷是否有auth code參數（即是不是服務端授權之後返回的），如果沒有則重定向到服務端進行授權；

3、否則調用executeLogin進行登錄，通過auth code創建OAuth2Token提交給Subject進行登錄；

4、登錄成功將回調onLoginSuccess方法重定向到成功頁面；

5、登錄失敗則回調onLoginFailure重定向到失敗頁面。

OAuth2Realm

Java代碼

public class OAuth2Realm extends AuthorizingRealm {
private String clientId;
private String clientSecret;
private String accessTokenUrl;
private String userInfoUrl;
private String redirectUrl;
//省略setter
public boolean supports(AuthenticationToken token) {
return token instanceof OAuth2Token; //表示此Realm只支持OAuth2Token類型
}
protected AuthorizationInfo doGetAuthorizationInfo(PrincipalCollection principals) {
SimpleAuthorizationInfo authorizationInfo = new SimpleAuthorizationInfo();
return authorizationInfo;
}
protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
OAuth2Token oAuth2Token = (OAuth2Token) token;
String code = oAuth2Token.getAuthCode(); //獲取 auth code
String username = extractUsername(code); // 提取用戶名
SimpleAuthenticationInfo authenticationInfo =
new SimpleAuthenticationInfo(username, code, getName());
return authenticationInfo;
}
private String extractUsername(String code) {
try {
OAuthClient oAuthClient = new OAuthClient(new URLConnectionClient());
OAuthClientRequest accessTokenRequest = OAuthClientRequest
.tokenLocation(accessTokenUrl)
.setGrantType(GrantType.AUTHORIZATION_CODE)
.setClientId(clientId).setClientSecret(clientSecret)
.setCode(code).setRedirectURI(redirectUrl)
.buildQueryMessage();
//獲取access token
OAuthAccessTokenResponse oAuthResponse =
oAuthClient.accessToken(accessTokenRequest, OAuth.HttpMethod.POST);
String accessToken = oAuthResponse.getAccessToken();
Long expiresIn = oAuthResponse.getExpiresIn();
//獲取user info
OAuthClientRequest userInfoRequest =
new OAuthBearerClientRequest(userInfoUrl)
.setAccessToken(accessToken).buildQueryMessage();
OAuthResourceResponse resourceResponse = oAuthClient.resource(
userInfoRequest, OAuth.HttpMethod.GET, OAuthResourceResponse.class);
String username = resourceResponse.getBody();
return username;
} catch (Exception e) {
throw new OAuth2AuthenticationException(e);
}
}
}

此Realm首先只支持OAuth2Token類型的Token；然後通過傳入的auth code去換取access token；再根據access token去獲取用戶信息（用戶名），然後根據此信息創建AuthenticationInfo；如果需要AuthorizationInfo信息，可以根據此處獲取的用戶名再根據自己的業務規則去獲取。

Spring shiro配置（spring-config-shiro.xml）

Java代碼

<bean id="oAuth2Realm"
class="com.github.zhangkaitao.shiro.chapter18.oauth2.OAuth2Realm">
<property name="cachingEnabled" value="true"/>
<property name="authenticationCachingEnabled" value="true"/>
<property name="authenticationCacheName" value="authenticationCache"/>
<property name="authorizationCachingEnabled" value="true"/>
<property name="authorizationCacheName" value="authorizationCache"/>
<property name="clientId" value="c1ebe466-1cdc-4bd3-ab69-77c3561b9dee"/>
<property name="clientSecret" value="d8346ea2-6017-43ed-ad68-19c0f971738b"/>
<property name="accessTokenUrl"
value="http://localhost:8080/chapter17-server/accessToken"/>
<property name="userInfoUrl" value="http://localhost:8080/chapter17-server/userInfo"/>
<property name="redirectUrl" value="http://localhost:9080/chapter17-client/oauth2-login"/>
</bean>

此OAuth2Realm需要配置在服務端申請的clientId和clientSecret；及用於根據auth code換取access token的accessTokenUrl地址；及用於根據access token換取用戶信息（受保護資源）的userInfoUrl地址。

Java代碼

<bean id="oAuth2AuthenticationFilter"
class="com.github.zhangkaitao.shiro.chapter18.oauth2.OAuth2AuthenticationFilter">
<property name="authcCodeParam" value="code"/>
<property name="failureUrl" value="/oauth2Failure.jsp"/>
</bean>

此OAuth2AuthenticationFilter用於攔截服務端重定向回來的auth code。

Java代碼

<bean id="shiroFilter" class="org.apache.shiro.spring.web.ShiroFilterFactoryBean">
<property name="securityManager" ref="securityManager"/>
<property name="loginUrl" value="http://localhost:8080/chapter17-server/authorize?client_id=c1ebe466-1cdc-4bd3-ab69-77c3561b9dee&response_type=code&redirect_uri=http://localhost:9080/chapter17-client/oauth2-login"/>
<property name="successUrl" value="/"/>
<property name="filters">
<util:map>
<entry key="oauth2Authc" value-ref="oAuth2AuthenticationFilter"/>
</util:map>
</property>
<property name="filterChainDefinitions">
<value>
/ = anon
/oauth2Failure.jsp = anon
/oauth2-login = oauth2Authc
/logout = logout
/** = user
</value>
</property>
</bean>

此處設置loginUrl爲http://localhost:8080/chapter17-server/authorize

?client_id=c1ebe466-1cdc-4bd3-ab69-77c3561b9dee&response_type=code&redirect_uri=http://localhost:9080/chapter17-client/oauth2-login"；其會自動設置到所有的AccessControlFilter，如oAuth2AuthenticationFilter；另外/oauth2-login = oauth2Authc表示/oauth2-login地址使用oauth2Authc攔截器攔截並進行oauth2客戶端授權。

測試

1、首先訪問http://localhost:9080/chapter17-client/，然後點擊登錄按鈕進行登錄，會跳到如下頁面：