README.md · Blanca/实验四基于Spring Security码云OAuth2认证的实验仓库

-  实验四 基于Spring Security码云OAuth2认证

- 一、 实验目的

1、 掌握使用Spring Security框架；

2、 掌握配置Spring Security的安全过滤链；

3、 掌握编写Spring Security单元测试；

4、 掌握创建接入码云的应用；

5、 掌握码云OAuth2认证基本流程；

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/205102_5148d705_8059943.png "屏幕截图.png")

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/205153_7c804ee2_8059943.png "屏幕截图.png")

6、 掌握使用码云API；

7、 了解使用模板引擎或前端框架制作用户登录界面。

- 二、 实验环境

1、 JDK 1.8或更高版本

2、 Maven 3.6+

3、 IntelliJ IDEA

- 三、 实验任务
-

1、 登录码云，fork 实验四的作业仓库。

仓库地址：https://gitee.com/dgut-sai/spring-security-gitee-experiment-4

2、 根据下面的步骤填充代码，运行并测试成功：

1) OAuth2基本认证流程。

图2 码云OAuth2认证流程

- 2) 步骤一：创建接入码云的应用。

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/210114_a4676d9a_8059943.png "屏幕截图.png")
![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/210147_7845fe8b_8059943.png "屏幕截图.png")

码云参考文档：https://gitee.com/api/v5/oauth_doc#/list-item-3

回调地址 必需 是：http://localhost:8080/login/oauth2/code/gitee

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/205220_b7024a63_8059943.png "屏幕截图.png")

(如上图，这个步骤可选，不是必须。)

- 3) 步骤二：编写 重定向过滤器 的业务逻辑。

当用户访问 /oauth2/gitee 时，本重定向过滤器拦截请求，并将用户重定向到码云三方认证页面上。
登录页面：
![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/210356_f9ac1963_8059943.png "屏幕截图.png")
点击码云登录实现跳转：
![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/210509_5567da37_8059943.png "屏幕截图.png")

提示：
	a) 在程序内部请求外部 API 接口时，可以使用 RestTemplate 或 WebClient 的 http 客户端，详细请参考：WebMvc Client 官方参考文档

b) 在构造 uri 的时候，可以使用Spring框架内部提供的工具类UriComponentsBuilder ，详细请参考：UriComponentsBuilder官方参考文档 - Mvc Uri Building 。

c) API接口返回的Json字符串需要转换为 Map、List 时，推荐使用 spring boot 内部提供的解释器 JacksonJsonParser ( spring boot 默认使用 Jackson 库 ),如果使用 Gson 库的话则解释器为 GsonJsonParser 。

- 4) 步骤三：使用码云 access_token API向码云认证服务器发送post请求获取access_token。

代码：
![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/210602_a48bc662_8059943.png "屏幕截图.png")

逻辑参考：UsernamePasswordAuthenticationFilter

- 5) 步骤四：使用码云API获取授权用户的资料。

代码：
![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/210724_cbdb6392_8059943.png "屏幕截图.png")

码云参考文档：https://gitee.com/api/v5/swagger#/getV5User

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/205249_d1164ce7_8059943.png "屏幕截图.png")

- 6) 步骤五：把自定义的两个 Filter 加进安全过滤链。

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/210749_3c0441a9_8059943.png "屏幕截图.png")

注意：不要添加自定义过滤器放置在 SecurityContextPersistenceFilter 前面。

官方参考文档 - Spring Security内置的过滤器顺序：https://docs.spring.io/spring-security/site/docs/current/reference/html5/#servlet-security-filters

Spring Security 框架在初始化一条过滤器链的时候，默认添加了一些过滤器，用于实现 Spring Security 的内部功能，如下图：

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/205311_4de73d38_8059943.png "屏幕截图.png")

图3  默认添加的过滤器列表

- 
- 7) 步骤六：把我们自定义的SecurityConfigurer应用到安全过滤链。

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/210826_d0c9a5c1_8059943.png "屏幕截图.png")

- 8) 步骤七：改造/user接口，返回码云用户资料给前端；改造user.ftlh模板用于显示用户资料。

user.ftlh:
![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/210901_0d9aabb7_8059943.png "屏幕截图.png")

效果：

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/211211_c3934139_8059943.png "屏幕截图.png")

提示：

a、 Spring MVC的方法参数；

b、 SecurityContextHolder 默认把安全上下文 SecurityContext 保存在线程中，所以我们可以在当前线程应用程序中任何地方访问利用 SecurityContextHolder 访问安全上下文 SecurityContext。

c、 ![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/205339_54920fad_8059943.png "屏幕截图.png")

- 9) 步骤八：编写单元测试。模拟一个登录用户，访问受保护的接口/test，断言接口的返回内容body部分是否一致。

![输入图片说明](https://images.gitee.com/uploads/images/2020/1213/211241_4b5c42d2_8059943.png "屏幕截图.png")

- 测试结果：

参考：Spring Security 官方参考文档 - 测试 。

大家做完实验四后，要读懂实验四的所有源码，理解 Spring Security 的架构设计思想，从而为我们需要配置、定制 Spring Security 作好准备。

进阶：基于 Spring Security 的微信登录如何写？或者 莞工中央认证 CAS？

参考：微信官方文档 - 网页授权

- 四、 教学视频

【腾讯会议】录制文件已生成

主题 :  实验四：基于Spring Security码云OAuth2认证

日期 :  2020-11-30 14:37:52

实验四教学录像：https://meeting.tencent.com/user-center/shared-record-info?id=10155b52-376d-456c-9d47-baaa272b0f37

访问密码：GDLtpAGC

- 
- 五、 实验要求

1、 实验项目 push 到码云的公开仓库，并把仓库网址登记在在线文档；

2、 从码云仓库下载项目的ZIP文件，并交由班长汇总；

3、 撰写实验报告，完成各个实验任务。各实验任务中的附图，是老师的演示代码，同学们应该模仿演示代码改为自己的代码。实验报告中必须完整描述各实验任务实现过程并附截图。

4、 网络空间安全学院实验报告模板(2019试行)

5、 实验四项目仓库登记表。

6、 严禁抄袭。如果不想项目仓库给别人看到，可以设置为 私有仓库，并把老师的码云账号( dgsai@vip.qq.com )加入到仓库开发者方便老师检查实验。

Blanca/实验四基于Spring Security码云OAuth2认证的实验仓库

简介

发行版

贡献者

近期动态

Blanca/实验四 基于Spring Security码云OAuth2认证的实验仓库 .gitee-modal { width: 500px !important; }

简介

发行版

贡献者

近期动态

搜索帮助

Blanca/实验四基于Spring Security码云OAuth2认证的实验仓库