Jhipster技术栈理解 - UAA原理分析

本文简要分析了UAA的认证机制和部分源码功能。 UAA全称User Account and Authentication。 相关源码都是通过Jhipster生成,包括UAA,Gateway,Identity。Jhipster简介请参考这里

1 OAuth2认证模式

1.1 密码模式

密码模式(Resource Owner Password Credentials)中,用户向客户端提供自己的用户名和密码。客户端使用这些信息,向"认证服务器"进行认证。在这种模式中,用户必须把自己的密码给客户端,但是客户端不得储存密码。

流程如下:

a, 用户向客户端提供用户名和密码。

b, 客户端将用户名和密码发给认证服务器,向后者请求令牌。

c, 认证服务器确认无误后,向客户端提供访问令牌。

d, 客户端之后所有访问都会传递令牌。

1.2 客户端模式

客户端模式(Client Credentials)指客户端以服务自身的名义,而不是以用户的名义,向"认证服务器"进行认证。

流程如下:

a, 客户端从配置文件或者数据库获取认证信息。

b, 客户端将认证信息发给认证服务器,并请求返回一个访问令牌。

c, 认证服务器确认认证信息无误后,向客户端提供访问令牌。

d, 客户端之后的所有访问不会传递这个令牌。

2 UAA认证方式

2.1 用户调用

oauth2认证模式: 密码模式

配置文件相关内容

oauth2:     
  web-client-configuration:        
    #change client secret in production, keep in sync with UAA configuration        
    client-id: web_app        
    secret: changeit

时序图

说明:这种认证方式是用在用户访问的场景,也就是服务间调用时总是带着用户名和密码信息。

2.2 机器调用

oauth2认证模式: 密码模式

配置文件相关内容

jhipster:    
  security:        
    client-authorization:            
      client-id: internal            
      client-secret: internal

时序图

说明:这种认证方式是用在内部服务之间调用的场景,也就是服务间调用时是没有用户名和密码信息的。JHipster生成的UAA是没有这部分的代码的,需要自己实现,参见JHipster技术栈定制 - 基于UAA的微服务之间安全调用

3 源码分析

3.1 UAA

com.yourcompany.uaa.config.UaaConfiguration

注册为认证服务器,注册用户调用客户端(web_app)和机器调用客户端(internal)。目前都是写死的,如果需要保存所有客户端到数据库,需要修改方法configure(ClientDetailsServiceConfigurer clients)。

com.yourcompany.uaa.config.UaaProperties

uaa相关配置属性和值。

com.yourcompany.uaa.config.UaaWebSecurityConfiguration

配置不需要认证的url。

com.yourcompany.uaa.security.DomainUserDetailsService

查询数据库返回包含完整用户信息的对象。

com.yourcompany.uaa.security.IatTokenEnhancer

添加iat到token中,即token创建时间。

com.yourcompany.uaa.security.SecurityUtils

spring security 工具类,获取当前线程用户的登录名,判断当前登录用户是否认证过,判断当前用户是否具有指定的权限。

com.yourcompany.uaa.security.SpringSecurityAuditorAware

获取当前线程用户的登录名,调用SecurityUtils的方法。

com.yourcompany.uaa.security.TokenProvider

创建token工具类。

org.springframework.security.core.userdetails.User

内置用户类,保存用户名,密码,账号是否过期,账号是否锁定,账号凭证是否过期,是否可用。

org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter

内置过滤器,调用AuthenticationManager校验form表单提交的用户名密码。

org.springframework.security.oauth2.provider.endpoint.TokenEndpoint

内置端点,接受客户端请求,认证后返回token。

org.springframework.security.oauth2.provider.endpoint.TokenKeyEndpoint

内置端点,接受客户端请求,返回验证公钥。

3.2 Gateway

com.yourcompany.gateway.web.filter.RefreshTokenFilter

过滤器,过滤传入的请求并刷新到期之前的访问令牌。

com.yourcompany.gateway.web.filter.RefreshTokenFilterConfigurer

配置类,配置refreshtokenfilter到工程里。

com.yourcompany.gateway.config.MicroserviceSecurityConfiguration

注册为资源服务器,保护/api/和/management/等资源。

com.yourcompany.gateway.config.oauth2.OAuth2AuthenticationConfiguration

注册为oauth2的资源服务器,保护/auth/logout, 注册RefreshTokenFilterConfigurer到应用过滤链中。

com.yourcompany.gateway.config.oauth2.OAuth2JwtAccessTokenConverter

access token解码器,将token解码为身份对象;获取uaa公钥并配置为密钥签名保存在内存中。

com.yourcompany.gateway.config.oauth2.OAuth2Properties

保存配置文件中oauth2部分的属性。

com.yourcompany.gateway.security.AuthoritiesConstants

对应uaa数据表jhi_authority。

com.yourcompany.gateway.security.SecurityUtils

spring security 工具类,获取当前登录用户的登录名,判断当前登录用户是否认证过,判断当前用户是否具有指定的权限。

com.yourcompany.gateway.security.oauth2.CookieTokenExtractor

从cookie中解析出access token,使用了OAuth2CookeiHelper。

com.yourcompany.gateway.security.oauth2.OAuth2CookieHelper

cookie帮助类。 getClaim()方法可以从token中获取明文信息。

com.yourcompany.gateway.security.oauth2.OAuth2AuthenticationService

管理OAuth2的身份验证情况,保存(更新)access token和refresh token的Cookie。

com.yourcompany.gateway.security.oauth2.OAuth2Cookies

保存access token和refresh token。

com.yourcompany.gateway.security.oauth2.CookiesHttpServletRequestWrapper

请求映射器,用于修改原始请求中的cookie。

com.yourcompany.gateway.security.oauth2.CookieCollection

允许修改的Cookie集合,与单纯的数组不同。

com.yourcompany.gateway.security.oauth2.OAuth2SignatureVerifierClient

接口, 定义方法getSignatureVerifier(), 表示创建一个SignatureVerifier,用于获取公钥并验证JWT令牌。

com.yourcompany.gateway.security.oauth2.UaaSignatureVerifierClient

客户端从UAA获取公钥并返回SignatureVerifier。实现了OAuth2SignatureVerifierClient接口的getSignatureVerifier()方法。

com.yourcompany.gateway.security.oauth2.OAuth2TokenEndpointClient

接口, 作为客户端与OAuth2授权服务器的令牌终端通信。2个重要方法: sendPasswordGrant()和sendRefreshGrant()。

com.yourcompany.gateway.security.oauth2.OAuth2TokenEndpointClientAdapter

抽象类, 实现了OAuth2TokenEndpointClient的2个重要方法。定义了一个给请求头中添加身份信息的抽象方法addAuthentication()。

com.yourcompany.gateway.security.oauth2.UaaTokenEndpointClient

继承OAuth2TokenEndpointClientAdapter,实现OAuth2TokenEndpointClient。 作为客户端与UAA服务器的令牌终端通信,实现了addAuthentication()方法,从配置文件中获取如下配置,并放到请求头中:

oauth2:
  web-client-configuration:
    client-id: web_app
    secret: changeit

注意:

  • 如果用户登录没有勾选“记住我”,cookie里面的刷新令牌的key为: cookie_token;如果勾选了“记住我”,cookie里面的刷新令牌的key为: refresh_token
  • 如果要严格判断登出时间,需要通过缓存中间件保存logout登出信息。

3.3 Identity

com.yourcompany.identity.client.AuthorizedFeignClient

注解。 为机器调用添加认证信息。默认注册拦截器OAuth2FeignRequestInterceptor。

com.yourcompany.identity.client.AuthorizedUserFeignClient

注解。为用户调用添加认证信息。默认注册拦截器UserFeignClientInterceptor

com.yourcompany.identity.client.OAuth2InterceptedFeignConfiguration

注册Oauth2RequestInterceptor。

com.yourcompany.identity.client.OAuth2UserClientFeignConfiguration

注册UserFeignClientInterceptor。

com.yourcompany.identity.client.UserFeignClientInterceptor

拦截器, 给resttemplate的请求头中添加认证信息。

com.yourcompany.identity.config.MicroserviceSecurityConfiguration

注册为资源服务器,保护/api/和/management/等资源。

com.yourcompany.identity.security.oauth2.OAuth2SignatureVerifierClient

接口, 定义方法getSignatureVerifier(), 表示创建一个SignatureVerifier,用于获取公钥并验证JWT令牌。

com.yourcompany.identity.security.oauth2.UaaSignatureVerifierClient

客户端从UAA获取公钥并返回SignatureVerifier。实现了OAuth2SignatureVerifierClient接口的getSignatureVerifier()方法。

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

编辑于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏一个默默无闻的工程师的日常

Trystack创建实例并通过ssh远程登录虚拟机

2013
来自专栏GreenLeaves

Oracle 数据库、表、方案的逻辑备份与恢复

数据库(表)的逻辑备份与恢复 逻辑备份是指使用工具export将数据对象的结构和数据导出到文件的过程,逻辑恢复是指当数据库对象被破坏而使用工具import利用备...

2068
来自专栏JavaEdge

SpringBoot+Security 发送短信验证码在core模块下properties包中创建SmsCodeProperties在ValidateCodeProperties中new一个SmsCo

2906
来自专栏用户2442861的专栏

Pycharm project share to Github

1、File->Settings->Version Control->Github

802
来自专栏小狼的世界

SSH连接服务器并且拷贝文件

” Remote Host Identification Has Changed“

2685
来自专栏云计算教程系列

如何在CentOS 7上安装MySQL

MySQL是一个开源数据库管理系统,通常情况下,安装它作为流行的LEMP(Linux,Nginx,MySQL/ MariaDB,PHP / Python /Pe...

2554
来自专栏用户画像

Maven安装与配置

 1、Maven下载 http://maven.apache.org/download.cgi 直接解压到一个目录 即可

792
来自专栏C/C++基础

Linux命令(40)——nohup命令

nohup的作用可以将程序以忽略挂起信号(SIGHUP)的方式运行。常见的用法是和&命令一同使用,将命令放置到后台运行,即使终端挂掉,进程会忽略挂起信号,继续运...

962
来自专栏云计算教程系列

如何在Ubuntu 14.04上使用Git Hooks部署Rails应用程序

在本教程中,我们将向您展示如何使用Git hooks自动将Rails应用程序的生产环境部署到远程Ubuntu 14.04服务器。使用Git hooks将允许您通...

1586
来自专栏云计算教程系列

如何在Ubuntu 16.04上配置Redis复制

Redis是一个开源键值数据存储,使用内存存储模型和可选的磁盘写入来实现持久性。它具有事务,发布/订阅消息传递模式以及其他功能之间的自动故障转移功能。Redis...

1760

扫码关注云+社区