如何在spring boot 2 oauth2中获得令牌？

Question

我是春天安全oauth2的新手。我想运行这个authorization server sample code。我成功运行它，为获得令牌，我设置postman如下，然后发送请求：

在这种情况下，我输入了客户端ID及其密码，但我想在没有它们的情况下登录。例如，我的用户发送用户名，密码和客户端ID，然后获取令牌。但是我发送的每个请求，服务器返回401响应。在Spring boot 2 oauth 2，我该怎么办？

Answer 1

1）要获取访问令牌，您必须使用此类请求：

curl --user client:secret \
  -X POST http://localhost:8080/oauth/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=password&username=username&password=password&scope=*" \

使用Basic Auth和您的应用程序凭据（如果您愿意，可以避免使用此秘密）。您必须在请求正文中传递的用户名及其密码以及grant_type字段中的“密码”值。

作为响应，您可以访问并刷新令牌，例如：

{
    "access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX2VtYWlsIjoidXNlckBtYWlsLmNvbSIsInVzZXJfbmFtZSI6InVzZXIiLCJzY29wZSI6WyIqIl0sImV4cCI6MTU0Nzc2NDIzOCwiYXV0aG9yaXRpZXMiOlsiQURNSU4iXSwianRpIjoiYzk1YzkzYTAtMThmOC00OGZjLWEzZGUtNWVmY2Y1YWIxMGE5IiwiY2xpZW50X2lkIjoiY2xpZW50In0.RWSGMC0w8tNafT28i2GLTnPnIiXfAlCdydEsNNZK-Lw",
    "token_type": "bearer",
    "refresh_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX2VtYWlsIjoidXNlckBtYWlsLmNvbSIsInVzZXJfbmFtZSI6InVzZXIiLCJzY29wZSI6WyIqIl0sImF0aSI6ImM5NWM5M2EwLTE4ZjgtNDhmYy1hM2RlLTVlZmNmNWFiMTBhOSIsImV4cCI6MTU0Nzc2NzcxOCwiYXV0aG9yaXRpZXMiOlsiQURNSU4iXSwianRpIjoiZDRhNGU2ZjUtNDY2Mi00NGZkLWI0ZDgtZWE5OWRkMDJkYWI2IiwiY2xpZW50X2lkIjoiY2xpZW50In0.m7XvxwuPiTnPaQXAptLfi3CxN3imfQCVKyjmMCIPAVM",
    "expires_in": 119,
    "scope": "*"
    "jti": "c95c93a0-18f8-48fc-a3de-5efcf5ab10a9"
}

2）然后，您可以使用该访问令牌来访问服务器应用程序的资源。在这种情况下，您需要Bearer Token身份验证类型和您的访问令牌：

curl -X GET http://localhost:8080/demo \
  -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX2VtYWlsIjoidXNlckBtYWlsLmNvbSIsInVzZXJfbmFtZSI6InVzZXIiLCJzY29wZSI6WyIqIl0sImV4cCI6MTU0Nzc2NDIzOCwiYXV0aG9yaXRpZXMiOlsiQURNSU4iXSwianRpIjoiYzk1YzkzYTAtMThmOC00OGZjLWEzZGUtNWVmY2Y1YWIxMGE5IiwiY2xpZW50X2lkIjoiY2xpZW50In0.RWSGMC0w8tNafT28i2GLTnPnIiXfAlCdydEsNNZK-Lw'

3）要刷新令牌，您必须再次使用具有客户端凭据的Basic Auth，但在这种情况下，您需要'refresh_token'作为grant_type：

curl --user client:secret \
  -X POST http://localhost:8080/oauth/token \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'grant_type=refresh_token&scope=*&refresh_token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX2VtYWlsIjoidXNlckBtYWlsLmNvbSIsInVzZXJfbmFtZSI6InVzZXIiLCJzY29wZSI6WyIqIl0sImF0aSI6ImM5NWM5M2EwLTE4ZjgtNDhmYy1hM2RlLTVlZmNmNWFiMTBhOSIsImV4cCI6MTU0Nzc2NzcxOCwiYXV0aG9yaXRpZXMiOlsiQURNSU4iXSwianRpIjoiZDRhNGU2ZjUtNDY2Mi00NGZkLWI0ZDgtZWE5OWRkMDJkYWI2IiwiY2xpZW50X2lkIjoiY2xpZW50In0.m7XvxwuPiTnPaQXAptLfi3CxN3imfQCVKyjmMCIPAVM'

每次访问令牌到期时，您都必须使用第3个请求刷新它。然后，您将能够再次访问资源。

附加信息

1）我对how to build the simple OAuth2 app with JWT and custom claims的回答

2）Related demo application

3）Related Postman collection

Answer 2

OAuth 2.0规范描述了客户端应用程序获取访问令牌（表示用户对客户端访问其数据的权限）的许多授权（“方法”）。

Spring OAuth2预定义授权类型：

• ClientCredentialsTokenGranter
• RefreshTokenGranter
• AuthorizationCodeTokenGranter
• ImplicitTokenGranter
• ResourceOwnerPasswordTokenGranter（它的密码授权类型，例如你使用的那个）

如果要更改令牌获取逻辑，可以使用自定义TokenGranter。

额外：

OAuth 2 Develpers Guide