Spring Security OAuth2 源码分析

Spring Security OAuth2 主要两部分功能：一、生成token，二、验证token，最大概的流程进行了一次梳理

一、Server端生成token （post /oauth/token）

 

  AuthorizationServerSecurityConfigurer 在配置阶段    若是容许form表单提交则会通过ClientCredentialsTokenEndpointFilter， 剩下的流程能够总结为生成token、存储token。

  生成token：按类型生成token，类型与oauth2四种类型（密码、受权码、客户端、简化）模式相对 存储token: 支持 内存、redis、数据库、等多种方式

 

二、Resource端验证token (访问受限接口）

 

ResourceSecurityConfigurer在配置阶段，对Resource进行配置， OAuth2核心过滤器 OAuth2AuthenticationProcessingFilter， 若是请求中存在token 则进行验证，若是不存在则不验证（可是Spring Security会对接口权限进行验证)。

存在token流程：

            根据 配置的userInfoEndpointUrl 到 server获取token的受权信息 OAuthAuthentication。 

            根据返回结果判断token是否有效（若是返回结果结果中存在error代表访问限制： 也就是说server对token无效的处理后，必定要返回非 200的http响应Resource才能认定无效）