Spring Security

既然系统中有登录功能，那么必然也会有登出的需要，登出的效果一般都是清除认证相关的Session，同时也要让access token无效化，换而言之就是清除当前用户认证相关的状态，使用户在项目中...

本章实现的效果 授权码模式下使用前后端分离的登录页面和授权确认页面。 设备码模式下使用前后端分离的登录页面、授权确认页面、用户码验证页面和用户码验证成功页面。

全局根据二维码id将整个流程串联起来，前端轮询、app端扫码和登录确认都是通过二维码id来的，中间借助redis来缓存二维码的信息，以确保每个端都可以获取到二维码信息，这样就算集群部署也不影响。

本文对应的是文档中的[How-to: Implement core services with JPA]，文档中使用Jpa实现了核心的三个服务类：授权信息、客户端信息和授权确认的服务。

从上边的配置可以看出Spring对于三方框架内部没有默认构造器的类的反序列化支持还是挺好的，如果集成其它框架时遇到这种情况时就可以仿照Security框架提供的Mixin类实现一个自己的Mixin类

一直都有提到PKCE流程是授权码流程的扩展，通过这两篇文章也可以看出两种流程的授权申请流程基本是一样的，只不过PKCE将客户端密钥换成了code_verifier和code_challenge

实际上真正对接要写的代码并不多，逻辑也不复杂，我这里写的比较简单，并且客户端id和秘钥都是放在前端的，读者可以存放在一些更安全的地方，或加密，或从后端获取密文等，如果大家发现有什么问题可以在评论指正

文章会记录可能遇到的问题，并给出一个解决方案，目前框架异常提示信息不完善，所以出现问题后很难排查，这里给出一些解决方案，让大家少走一些弯路；本篇文章持续更新中，欢迎各位读者指正、补充和完善，谢谢大家

Gateway这种非阻塞式的网关是基于webflux的，对于集成Security相关内容略有不同，且涉及到代理其它微服务，所以会稍微比较麻烦些，今天就带大家来实现Gateway对接OAuth2认证服务

在之前的文章(实现授权码模式使用前后端分离的登录页面)中实现了前后端分离的登录页面，但这篇文章中只分离了登录页面，鉴于部分读者好奇授权确认页面分离的实现，就实现一下授权确认页面的分离，同时分离设备码的

虽然微信登录的流程也是oauth的那一套流程，但是它要求的参数并不符合oauth的规范，所以想要集成进联合身份认证中则需要根据参数要求进行定制。

现在项目中都会集成一些三方登录，如Github、Gitee、微信、QQ平台提供的授权登录，如果手动集成则每种三方登录都要提供一个回调接口，自己实现通过code换取token，再用token获取用户信息

根据上边的分析得出解决方案，在配置JWKSource之前先从redis中尝试获取一下，获取不到就生成并存入redis；获取到直接解析并生成一个JWKSet。将该JWKSet添加至配置中。

今天的主题就是使用单独部署的登录页面替换认证服务器默认的登录页面(前后端分离时使用前端的登录页面)，目前在网上能搜到的很多都是理论，没有很好的一个示例我就按照我自己的想法写了一个实现给大家提供一个思路

今天为大家展示一下如何使用Spring data redis来缓存项目中数据，在项目使用人数少的情况下使用HttpSession问题不大，但是当并发多了就顶不住了，基本都会选择一些NoSQL来做缓存。

本篇文章会带大家实现自定义的UserDetailsService，从数据库获取用户及权限信息；也会带大家了解一下框架是怎么获取用户信息的。

虽然框架不支持，但是也提供了自定义grant_type的扩展方式，今天就来实现一下自定义的短信验证登录；哈哈，皮一下，看过前边文章的读者应该明白短信验证登录和密码登录区别不大，最多就是一个校验的问题。

传统的账号密码已经不能满足需求了，现在通常都是短信验证码登录、扫码登录、刷脸登录等等，今天这篇文章就写一下如何使用Spring Authorization Server实现短信验证码登录。

书接上文，本次来对接一下资源服务，在本篇文章中会带领大家去构建一个资源服务器，通过注解校验token中的权限，怎么放行一个接口，使其不需要认证也可访问。

本篇文章以较少的代码集成了Security OAuth2 Client，体验到了springboot最开始说的“约定大于配置”的好处，框架添加了大量的默认配置，只需更改必须修改的自定义部分即可。