# 本章实现的效果 1. **授权码模式下使用前后端分离的登录页面和授权确认页面。** 2. **设备码模式(Device Flow)下使用前后端分离的登录页面、授权确认页面、用户码(user\_code)验证页面和用户码(user\_code)验证成功页面。** ![前后端分离效果.gif](https://p3-xtjj-sign.byteimg.com/tos-cn-i-73owjymdk6/4756212900934e05bca99806b9651f37~tplv-73owjymdk6-jj-mark-v1:0:0:0:0:5o6Y6YeR5oqA5pyv56S-5Yy6IEAg5Y-56Zuq6aOe6Iqx:q75.awebp?rk3s=f64ab15b&x-expires=1775509004&x-signature=prQCim73n5DrtUh8tJ9y0dK69ew%3D) # 分析        在一年多以前我出了两篇前后端分离的文章，分别是《[Spring Authorization Server入门 (十二) 实现授权码模式使用前后端分离的登录页面](https://juejin.cn/post/7254096495184134181)》和《[Spring Authorization Server入门 (十五) 分离授权确认与设备码校验页面](https://juejin.cn/post/7262317630307205176)》，最开始我的想法就是在OAuth2登录前生成一个id，在OAuth2登录期间所有请求都携带着这个id，特别是前端提交登录时，后端根据这个id存储认证信息，然后等登录以后重定向会授权申请时授权申请也会带这个这个id，这样就可以获取到前端提交登录以后存储的认证信息，相当于前端、后端两条独立不相交的线通过这个id串联起来了，但是这样就会很麻烦，授权申请、授权确认等都需要带这个id，后来我观察到对于浏览器来说，访问认证服务相关端点时每次都是同一个Session，所以后来通过SessionId来代替前端生成的id，这样在请求时比前边方便很多，但是后端的一些自定义处理就不能出现一丝差错，错一点就达不到想要的效果；

       再后来有大佬提议可以使用`Spring Session`管理`Session`，**打通前端、后端`Session`之间的壁垒，让他们直接可以互通，这样分离、不分离的唯一区别就是返回json和重定向的区别**，那么在使用Spring Session的情况下仅需要自定义一些响应就差不多了，这种情况下出问题的概率就会很低了。

       但是`Spring Session`也是有一定限制的，它**只能共享同一域名下不同子域名**的`Session`，前端在提交登录或在OAuth2登录流程中有其它需要和认证服务交互的地方(ajax\axios)时需要添加**跨域请求携带cookie**配置，例如Axios需要在初始化时添加`withCredentials: true`配置使其在跨域请求时带上cookie，这样前后端之间的Session就只会有一个。

       `Spring Session`在只引入依赖时我测试时axios请求的ip、前端项目访问的ip保持一致就可以共享Session，如果在有域名代理的情况下如果不能共享Session，可以**在`application.yml`中添加配置指定域名`server.servlet.session.cookie.domain: 这里是具体的顶级域名，类似(xxx.com)`**，如果**添加了该配置，那么配置的ip(域名)、axios请求的ip(域名)和访问前端项目的ip三者要保持一致。** # 实现步骤 1. 添加Spring Session Data Redis依赖。 2. 自定义登录成功、失败处理，在前后端分离时响应json，否则重定向。 3. 自定义重定向至登录页面处理，在重定向至登录页面时将当前请求的请求路径挂在登录页面的target参数中，前端登录成功后直接跳转至target中挂的url。 4. 自定义授权确认成功、失败处理，在前后端分离时响应json，否则重定向。 5. 自定义获取设备码验证地址响应处理，前后端分离时直接返回前端的验证地址，否则重定向。 6. 自定义校验设备码验证成功处理，在前后端分离时响应json，否则重定向。 7. 授权接口中添加授权确认信息查询接口给分离前端的授权确认页面使用。 8. 授权接口中添加设备码模式授权确认中转接口，如果是前后端分离则响应json，否则重定向。 9. 在AuthorizationConfig中将自定义内容通过提供的配置入口添加配置。 10. 开启两个过滤器链的CORS配置。 11. 注入`CorsConfigurationSource`，实现跨域配置。 12. 添加前端相关页面的实现。 # 编码 **常量类在最后** ### 1. 添加Spring Session Data Redis依赖。 ```xml org.springframework.session spring-session-data-redis ``` ### 2. 自定义登录成功、失败处理 **在处理类内添加了前后端分离和不分离的适配，根据相关地址的配置自适应。** ##### 登录成功处理在`com.example.authorization.handler`包下添加`LoginSuccessHandler`类。 ```java package com.example.authorization.handler; import com.example.model.Result; import com.example.util.JsonUtils; import jakarta.servlet.http.HttpServletRequest; import jakarta.servlet.http.HttpServletResponse; import lombok.RequiredArgsConstructor; import lombok.SneakyThrows; import org.springframework.http.MediaType; import org.springframework.security.core.Authentication; import org.springframework.security.web.authentication.AuthenticationSuccessHandler; import org.springframework.security.web.authentication.SavedRequestAwareAuthenticationSuccessHandler; import org.springframework.security.web.util.UrlUtils; import java.io.IOException; import java.nio.charset.StandardCharsets; /** * 登录成功处理类 * * @author vains */ @RequiredArgsConstructor public class LoginSuccessHandler implements AuthenticationSuccessHandler { private final String loginPageUri; private final AuthenticationSuccessHandler authenticationSuccessHandler = new SavedRequestAwareAuthenticationSuccessHandler(); @Override @SneakyThrows public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException { // 如果是绝对路径(前后端分离) if (UrlUtils.isAbsoluteUrl(this.loginPageUri)) { Result success = Result.success(); response.setCharacterEncoding(StandardCharsets.UTF_8.name()); response.setContentType(MediaType.APPLICATION_JSON_VALUE); response.getWriter().write(JsonUtils.objectCovertToJson(success)); response.getWriter().flush(); } else { authenticationSuccessHandler.onAuthenticationSuccess(request, response, authentication); } } } ``` ##### 登录失败处理在`com.example.authorization.handler`包下添加`LoginFailureHandler`类。 ```java package com.example.authorization.handler; import com.example.model.Result; import com.example.util.JsonUtils; import jakarta.servlet.http.HttpServletRequest; import jakarta.servlet.http.HttpServletResponse; import lombok.SneakyThrows; import lombok.extern.slf4j.Slf4j; import org.springframework.http.HttpStatus; import org.springframework.http.MediaType; import org.springframework.security.core.AuthenticationException; import org.springframework.security.web.authentication.AuthenticationFailureHandler; import org.springframework.security.web.authentication.SimpleUrlAuthenticationFailureHandler; import org.springframework.security.web.util.UrlUtils; import java.io.IOException; import java.nio.charset.StandardCharsets; /** * 登录失败处理类 * * @author vains */ @Slf4j public class LoginFailureHandler implements AuthenticationFailureHandler { private final String loginPageUri; private final AuthenticationFailureHandler authenticationFailureHandler; public LoginFailureHandler(String loginPageUri) { this.loginPageUri = loginPageUri; String loginFailureUrl = this.loginPageUri + "?error"; this.authenticationFailureHandler = new SimpleUrlAuthenticationFailureHandler(loginFailureUrl); } @Override @SneakyThrows public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException { log.debug("登录失败，原因：{}", exception.getMessage()); // 如果是绝对路径(前后端分离) if (UrlUtils.isAbsoluteUrl(this.loginPageUri)) { log.debug("登录页面为独立的前端服务页面，写回json."); // 登录失败，写回401与具体的异常 Result success = Result.error(HttpStatus.UNAUTHORIZED.value(), exception.getMessage()); response.setCharacterEncoding(StandardCharsets.UTF_8.name()); response.setContentType(MediaType.APPLICATION_JSON_VALUE); response.getWriter().write(JsonUtils.objectCovertToJson(success)); response.getWriter().flush(); } else { log.debug("登录页面为认证服务的相对路径，跳转至：{}", this.loginPageUri); authenticationFailureHandler.onAuthenticationFailure(request, response, exception); } } } ``` ### 3. 自定义重定向至登录页面处理 **在重定向至登录页面时将当前请求的请求路径挂在登录页面的target参数中，前端登录成功后直接跳转至target中挂的url。**
在`com.example.authorization.handler`包下添加`LoginTargetAuthenticationEntryPoint`类。 ```java package com.example.authorization.handler; import com.example.model.Result; import com.example.util.JsonUtils; import jakarta.servlet.ServletException; import jakarta.servlet.http.HttpServletRequest; import jakarta.servlet.http.HttpServletResponse; import lombok.extern.slf4j.Slf4j; import org.springframework.http.HttpMethod; import org.springframework.http.HttpStatus; import org.springframework.http.MediaType; import org.springframework.security.core.AuthenticationException; import org.springframework.security.web.DefaultRedirectStrategy; import org.springframework.security.web.RedirectStrategy; import org.springframework.security.web.authentication.LoginUrlAuthenticationEntryPoint; import org.springframework.security.web.util.UrlUtils; import org.springframework.util.ObjectUtils; import java.io.IOException; import java.net.URLEncoder; import java.nio.charset.StandardCharsets; import static com.example.constant.SecurityConstants.DEVICE_ACTIVATE_URI; /** * 重定向至登录处理 * * @author vains */ @Slf4j public class LoginTargetAuthenticationEntryPoint extends LoginUrlAuthenticationEntryPoint { private final RedirectStrategy redirectStrategy = new DefaultRedirectStrategy(); /** * @param loginFormUrl URL where the login page can be found. Should either be * relative to the web-app context path (include a leading {@code /}) or an absolute * URL. */ public LoginTargetAuthenticationEntryPoint(String loginFormUrl) { super(loginFormUrl); } @Override public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException, ServletException { String deviceVerificationUri = "/oauth2/device_verification"; // 兼容设备码前后端分离 if (request.getRequestURI().equals(deviceVerificationUri) && request.getMethod().equals(HttpMethod.POST.name()) && UrlUtils.isAbsoluteUrl(DEVICE_ACTIVATE_URI)) { // 如果是请求验证设备激活码(user_code)时未登录并且设备码验证页面是前后端分离的那种则写回json Result success = Result.error(HttpStatus.UNAUTHORIZED.value(), ("登录已失效，请重新打开设备提供的验证地址")); response.setCharacterEncoding(StandardCharsets.UTF_8.name()); response.setContentType(MediaType.APPLICATION_JSON_VALUE); response.getWriter().write(JsonUtils.objectCovertToJson(success)); response.getWriter().flush(); return; } // 获取登录表单的地址 String loginForm = determineUrlToUseForThisRequest(request, response, authException); if (!UrlUtils.isAbsoluteUrl(loginForm)) { // 不是绝对路径调用父类方法处理 super.commence(request, response, authException); return; } StringBuffer requestUrl = request.getRequestURL(); if (!ObjectUtils.isEmpty(request.getQueryString())) { requestUrl.append("?").append(request.getQueryString()); } // 2023-07-11添加逻辑：重定向地址添加nonce参数，该参数的值为sessionId // 绝对路径在重定向前添加target参数 String targetParameter = URLEncoder.encode(requestUrl.toString(), StandardCharsets.UTF_8); String targetUrl = loginForm + "?target=" + targetParameter; log.debug("重定向至前后端分离的登录页面：{}", targetUrl); this.redirectStrategy.sendRedirect(request, response, targetUrl); } } ``` ### 4. 自定义授权确认成功、失败处理 ##### 授权确认成功处理在`com.example.authorization.handler`包下添加`ConsentAuthorizationResponseHandler`类。 ```java package com.example.authorization.handler; import com.example.model.Result; import com.example.util.JsonUtils; import jakarta.servlet.ServletException; import jakarta.servlet.http.HttpServletRequest; import jakarta.servlet.http.HttpServletResponse; import org.springframework.http.HttpMethod; import org.springframework.http.MediaType; import org.springframework.security.core.Authentication; import org.springframework.security.oauth2.core.OAuth2Error; import org.springframework.security.oauth2.core.endpoint.OAuth2ParameterNames; import org.springframework.security.oauth2.server.authorization.authentication.OAuth2AuthorizationCodeRequestAuthenticationException; import org.springframework.security.oauth2.server.authorization.authentication.OAuth2AuthorizationCodeRequestAuthenticationToken; import org.springframework.security.web.DefaultRedirectStrategy; import org.springframework.security.web.RedirectStrategy; import org.springframework.security.web.authentication.AuthenticationSuccessHandler; import org.springframework.security.web.util.UrlUtils; import org.springframework.util.ObjectUtils; import org.springframework.util.StringUtils; import org.springframework.web.util.UriComponentsBuilder; import org.springframework.web.util.UriUtils; import java.io.IOException; import java.nio.charset.StandardCharsets; import static com.example.constant.SecurityConstants.CONSENT_PAGE_URI; import static org.springframework.security.oauth2.core.OAuth2ErrorCodes.INVALID_REQUEST; /** * 授权确认前后端分离适配响应处理 * * @author vains */ public class ConsentAuthorizationResponseHandler implements AuthenticationSuccessHandler { private final RedirectStrategy redirectStrategy = new DefaultRedirectStrategy(); @Override public void onAuthenticationSuccess(HttpServletRequest request, HttpServletResponse response, Authentication authentication) throws IOException, ServletException { // 获取将要重定向的回调地址 String redirectUri = this.getAuthorizationResponseUri(authentication); if (request.getMethod().equals(HttpMethod.POST.name()) && UrlUtils.isAbsoluteUrl(CONSENT_PAGE_URI)) { // 如果是post请求并且CONSENT_PAGE_URI是完整的地址，则响应json Result success = Result.success(redirectUri); response.setCharacterEncoding(StandardCharsets.UTF_8.name()); response.setContentType(MediaType.APPLICATION_JSON_VALUE); response.getWriter().write(JsonUtils.objectCovertToJson(success)); response.getWriter().flush(); return; } // 否则重定向至回调地址 this.redirectStrategy.sendRedirect(request, response, redirectUri); } /** * 获取重定向的回调地址 * * @param authentication 认证信息 * @return 地址 */ private String getAuthorizationResponseUri(Authentication authentication) { OAuth2AuthorizationCodeRequestAuthenticationToken authorizationCodeRequestAuthentication = (OAuth2AuthorizationCodeRequestAuthenticationToken) authentication; if (ObjectUtils.isEmpty(authorizationCodeRequestAuthentication.getRedirectUri())) { String authorizeUriError = "Redirect uri is not null"; throw new OAuth2AuthorizationCodeRequestAuthenticationException(new OAuth2Error(INVALID_REQUEST, authorizeUriError, (null)), authorizationCodeRequestAuthentication); } if (authorizationCodeRequestAuthentication.getAuthorizationCode() == null) { String authorizeError = "AuthorizationCode is not null"; throw new OAuth2AuthorizationCodeRequestAuthenticationException(new OAuth2Error(INVALID_REQUEST, authorizeError, (null)), authorizationCodeRequestAuthentication); } UriComponentsBuilder uriBuilder = UriComponentsBuilder .fromUriString(authorizationCodeRequestAuthentication.getRedirectUri()) .queryParam(OAuth2ParameterNames.CODE, authorizationCodeRequestAuthentication.getAuthorizationCode().getTokenValue()); if (StringUtils.hasText(authorizationCodeRequestAuthentication.getState())) { uriBuilder.queryParam( OAuth2ParameterNames.STATE, UriUtils.encode(authorizationCodeRequestAuthentication.getState(), StandardCharsets.UTF_8)); } // build(true) -> Components are explicitly encoded return uriBuilder.build(true).toUriString(); } } ``` ##### 授权确认失败处理在`com.example.authorization.handler`包下添加`ConsentAuthenticationFailureHandler`类。 ```java package com.example.authorization.handler; import com.example.model.Result; import com.example.util.JsonUtils; import jakarta.servlet.ServletException; import jakarta.servlet.http.HttpServletRequest; import jakarta.servlet.http.HttpServletResponse; import org.springframework.http.HttpMethod; import org.springframework.http.HttpStatus; import org.springframework.http.MediaType; import org.springframework.security.core.Authentication; import org.springframework.security.core.AuthenticationException; import org.springframework.security.core.context.SecurityContextHolder; import org.springframework.security.oauth2.core.OAuth2AuthenticationException; import org.springframework.security.oauth2.core.OAuth2Error; import org.springframework.security.web.authentication.AuthenticationFailureHandler; import org.springframework.security.web.util.UrlUtils; import java.io.IOException; import java.nio.charset.StandardCharsets; import static com.example.constant.SecurityConstants.CONSENT_PAGE_URI; /** * 授权确认失败处理 * * @author vains */ public class ConsentAuthenticationFailureHandler implements AuthenticationFailureHandler { @Override public void onAuthenticationFailure(HttpServletRequest request, HttpServletResponse response, AuthenticationException exception) throws IOException, ServletException { // 获取当前认证信息 Authentication authentication = SecurityContextHolder.getContext().getAuthentication(); // 获取具体的异常 OAuth2AuthenticationException authenticationException = (OAuth2AuthenticationException) exception; OAuth2Error error = authenticationException.getError(); // 异常信息 String message; if (authentication == null) { message = "登录已失效"; } else { // 第二次点击“拒绝”会因为之前取消时删除授权申请记录而找不到对应的数据，导致抛出 [invalid_request] OAuth 2.0 Parameter: state message = error.toString(); } // 授权确认页面提交的请求，因为授权申请与授权确认提交公用一个过滤器，这里判断一下 if (request.getMethod().equals(HttpMethod.POST.name()) && UrlUtils.isAbsoluteUrl(CONSENT_PAGE_URI)) { // 写回json异常 Result