Spring Security OAuth 自定義授權方式實現手機驗證碼

Posted on 2021-02-01 by WalkonNet

Spring Security OAuth 默認提供OAuth2.0 的四大基本授權方式（authorization_code\implicit\password\client_credential），除此之外我們也能夠自定義授權方式。

先瞭解一下Spring Security OAuth提供的兩個默認 Endpoints，一個是AuthorizationEndpoint，這個是僅用於授權碼(authorization_code)和簡化(implicit)模式的。另外一個是TokenEndpoint，用於OAuth2授權時下發Token，根據授予類型（GrantType）的不同而執行不同的驗證方式。

OAuth2協議這裡就不做過多介紹瞭，比較重要的一點是理解認證中各個角色的作用，以及認證的目的（獲取用戶信息或是具備使用API的權限）。例如在authorization_code模式下，用戶（User）在認證服務的網站上進行登錄，網站跳轉回第三方應用（Client），第三方應用通過Secret和Code換取Token後向資源服務請求用戶信息；而在client_credential模式下，第三方應用通過Secret直接獲得Token後可以直接利用其訪問資源API。所以我們應該根據實際的情景選擇適合的認證模式。

對於手機驗證碼的認證模式，我們首先提出短信驗證的通常需求：

每發一次驗證碼隻能嘗試驗證5次，防止暴力破解
限制驗證碼發送頻率，單個用戶（這裡簡單使用手機號區分）1分鐘1條，24小時x條
限制驗證碼有效期，15分鐘

我們根據業務需求構造出對應的模型：

@Data
public class SmsVerificationModel {

  /**
   * 手機號
   */
  private String phoneNumber;

  /**
   * 驗證碼
   */
  private String captcha;

  /**
   * 本次驗證碼驗證失敗次數，防止暴力嘗試
   */
  private Integer failCount;

  /**
   * 該user當日嘗試次數，防止濫發短信
   */
  private Integer dailyCount;

  /**
   * 限制短信發送頻率和實現驗證碼有效期
   */
  private Date lastSentTime;

  /**
   * 是否驗證成功
   */
  private Boolean verified = false;

}

我們預想的認證流程：

接下來要對Spring Security OAuth進行定制，這裡直接仿照一個比較相似的password模式，首先需要編寫一個新的TokenGranter，處理sms類型下的TokenRequest，這個SmsTokenGranter會生成SmsAuthenticationToken，並將AuthenticationToken交由SmsAuthenticationProvider進行驗證，驗證成功後生成通過驗證的SmsAuthenticationToken，完成Token的頒發。

public class SmsTokenGranter extends AbstractTokenGranter {
  private static final String GRANT_TYPE = "sms";

  private final AuthenticationManager authenticationManager;

  public SmsTokenGranter(AuthenticationManager authenticationManager, AuthorizationServerTokenServices tokenServices,
              ClientDetailsService clientDetailsService, OAuth2RequestFactory requestFactory){
    super(tokenServices, clientDetailsService, requestFactory, GRANT_TYPE);
    this.authenticationManager = authenticationManager;
  }

  @Override
  protected OAuth2Authentication getOAuth2Authentication(ClientDetails client, TokenRequest tokenRequest) {
    Map<String, String> parameters = new LinkedHashMap<>(tokenRequest.getRequestParameters());
    String phone = parameters.get("phone");
    String code = parameters.get("code");

    Authentication userAuth = new SmsAuthenticationToken(phone, code);
    try {
      userAuth = authenticationManager.authenticate(userAuth);
    }
    catch (AccountStatusException ase) {
      throw new InvalidGrantException(ase.getMessage());
    }
    catch (BadCredentialsException e) {
      throw new InvalidGrantException(e.getMessage());
    }
    if (userAuth == null || !userAuth.isAuthenticated()) {
      throw new InvalidGrantException("Could not authenticate user: " + username);
    }

    OAuth2Request storedOAuth2Request = getRequestFactory().createOAuth2Request(client, tokenRequest);
    return new OAuth2Authentication(storedOAuth2Request, userAuth);
  }
}

對應的SmsAuthenticationToken，其中一個構造方法是認證後的。

public class SmsAuthenticationToken extends AbstractAuthenticationToken {

  private final Object principal;
  private Object credentials;

  public SmsAuthenticationToken(Object principal, Object credentials) {
    super(null);
    this.credentials = credentials;
    this.principal = principal;
  }

  public SmsAuthenticationToken(Object principal, Object credentials,
                        Collection<? extends GrantedAuthority> authorities) {
    super(authorities);
    this.principal = principal;
    this.credentials = credentials;
    // 表示已經認證
    super.setAuthenticated(true);
  }
 ...
}

SmsAuthenticationProvider是仿照AbstractUserDetailsAuthenticationProvider編寫的，這裡僅僅列出核心部分。

public class SmsAuthenticationProvider implements AuthenticationProvider {

  @Override
  public Authentication authenticate(Authentication authentication)
      throws AuthenticationException {
   String username = authentication.getName();
   UserDetails user = retrieveUser(username);

   preAuthenticationChecks.check(user);
   String phoneNumber = authentication.getPrincipal().toString();
   String code = authentication.getCredentials().toString();
   // 嘗試從Redis中取出Model
   SmsVerificationModel verificationModel =
        Optional.ofNullable(
            redisService.get(SMS_REDIS_PREFIX + phoneNumber, SmsVerificationModel.class))
        .orElseThrow(() -> new BusinessException(OAuthError.SMS_VERIFY_BEFORE_SEND));
  // 判斷短信驗證次數
   Optional.of(verificationModel).filter(x -> x.getFailCount() < SMS_VERIFY_FAIL_MAX_TIMES)
        .orElseThrow(() -> new BusinessException(OAuthError.SMS_VERIFY_COUNT_EXCEED));

   Optional.of(verificationModel).map(SmsVerificationModel::getLastSentTime)
        // 驗證碼發送15分鐘內有效，等價於發送時間加上15分鐘晚於當下
        .filter(x -> DateUtils.addMinutes(x,15).after(new Date()))
        .orElseThrow(() -> new BusinessException(OAuthError.SMS_CODE_EXPIRED));

   verificationModel.setVerified(Objects.equals(code, verificationModel.getCaptcha()));
   verificationModel.setFailCount(verificationModel.getFailCount() + 1);

   redisService.set(SMS_REDIS_PREFIX + phoneNumber, verificationModel, 1, TimeUnit.DAYS);

   if(!verificationModel.getVerified()){
      throw new BusinessException(OAuthError.SmsCodeWrong);
   }

    postAuthenticationChecks.check(user);

    return createSuccessAuthentication(user, authentication, user);
  }
  ...

接下來要通過配置啟用我們定制的類，首先配置AuthorizationServerEndpointsConfigurer，添加上我們的TokenGranter，然後是AuthenticationManagerBuilder，添加我們的AuthenticationProvider。

@Configuration
@EnableAuthorizationServer
public class OAuth2Config extends AuthorizationServerConfigurerAdapter {

  @Override
  public void configure(AuthorizationServerSecurityConfigurer security) throws Exception {
    security
        .passwordEncoder(passwordEncoder)
        .checkTokenAccess("isAuthenticated()")
        .tokenKeyAccess("permitAll()")
        // 允許使用Query字段驗證客戶端，即client_id/client_secret 能夠放在查詢參數中
        .allowFormAuthenticationForClients();
  }

  @Override
  public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {

    endpoints.authenticationManager(authenticationManager)
        .userDetailsService(userDetailsService)
        .tokenStore(tokenStore);
    List<TokenGranter> tokenGranters = new ArrayList<>();

    tokenGranters.add(new AuthorizationCodeTokenGranter(endpoints.getTokenServices(), endpoints.getAuthorizationCodeServices(), clientDetailsService,
        endpoints.getOAuth2RequestFactory()));
  ...
    tokenGranters.add(new SmsTokenGranter(authenticationManager, endpoints.getTokenServices(),
        clientDetailsService, endpoints.getOAuth2RequestFactory()));

    endpoints.tokenGranter(new CompositeTokenGranter(tokenGranters));
  }

}

@EnableWebSecurity
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
 ...
  @Override
  protected void configure(AuthenticationManagerBuilder auth) {
    auth.authenticationProvider(daoAuthenticationProvider());
  }

  @Bean
  public AuthenticationProvider smsAuthenticationProvider(){
    SmsAuthenticationProvider smsAuthenticationProvider = new SmsAuthenticationProvider();
    smsAuthenticationProvider.setUserDetailsService(userDetailsService);
    smsAuthenticationProvider.setSmsAuthService(smsAuthService);
    return smsAuthenticationProvider;
  }
}

那麼短信驗證碼授權的部分就到這裡瞭，最後還有一個發送短信的接口，這裡就不展示瞭。

最後測試一下，curl –location –request POST ‘http://localhost:8080/oauth/token?grant_type=sms&client_id=XXX&phone=手機號&code=驗證碼’ ，成功。

{
  "access_token": "39bafa9a-7e5b-4ba4-9eda-e307ac98aad1",
  "token_type": "bearer",
  "expires_in": 3599,
  "scope": "ALL"
}

到此這篇關於Spring Security OAuth 自定義授權方式實現手機驗證碼的文章就介紹到這瞭,更多相關Spring Security OAuth手機驗證碼內容請搜索WalkonNet以前的文章或繼續瀏覽下面的相關文章希望大傢以後多多支持WalkonNet！

Spring Security OAuth 自定義授權方式實現手機驗證碼

推薦閱讀：

發佈留言取消回覆

近期文章

推薦閱讀：

發佈留言 取消回覆

近期文章

標籤

發佈留言取消回覆