OAuth2 ist für die Autorisierung verantwortlich, und JWT wird verwendet, um Informationen sicher zu übertragen. Die vier Rollen von OAuth2 umfassen Ressourcenbesitzer, Client, Authentifizierungsserver und Ressourcenserver. Der gemeinsame Prozess ist der Autorisierungscode -Modus. Nachdem sich der Benutzer angemeldet hat, verwendet der Client den Code, um ihn für das Token auszutauschen, und verwendet dann das Token, um auf die Ressourcen zuzugreifen. JWT enth?lt drei Teile: Header, Last und Signatur. Der Microservice best?tigt die Identit?t und l?st die Berechtigungsinformationen durch überprüfung der Signatur. Spring Boot Integration verwendet das OATH2-Ressourcenservermodul, um Issuer-URI und JWK-Set-URI zu konfigurieren, und passt die Berechtigungs-Parser-Extraktionsbeh?rden an. Zu den Anmerkungen geh?rt das Festlegen der Token -Ablaufzeit, die das Token mit sicherem Speicher auffrischen, CORs korrekt konfigurieren und das Speichern sensibler Daten in JWT vermeiden.

OAuth2 und JWT sind zwei Kerntechnologien, die die Sicherheit von Java -Microservices gew?hrleisten. Einfach ausgedrückt, bietet OAuth2 einen Autorisierungsmechanismus, w?hrend JWT zur sicheren übertragung von Benutzerinformationen verwendet wird. Sie arbeiten zusammen, um eine flexible, skalierbare Authentifizierung und Zugriffskontrolle zu erm?glichen.

1. Grundrollen und Prozesse von OAuth2

In der Microservice -Architektur wird OAuth2 haupts?chlich zur Behandlung der Benutzerautorisierung verwendet. Zu den vier h?ufigen Rollen geh?ren:

• Ressourcenbesitzer : Normalerweise ein Benutzer.
• Client : Die Anwendung, die die Anfrage initiiert, z. B. eine Front-End-Anwendung oder ein mobiles Terminal.
• Autorisierungsserver : Verantwortlich für die Ausstellung von Token.
• Ressourcenserver : Ein geschützter Dienst wie ein Java -Microservice.

Der h?ufigste Prozess ist der Autorisierungscodefluss , der für Anwendungen mit Backends geeignet ist. Der Prozess ist ungef?hr wie folgt:

• Benutzerversuche, um auf geschützte Ressourcen zuzugreifen
• Umgeleitet in den Authentifizierungsserver, um sich anzumelden und zu autorisieren
• Holen Sie sich den Autorisierungscode (Code)
• Der Client tauscht Zugriffstoken für den Authentifizierungsserver mithilfe von Code aus
• Verwenden Sie Access Token, um auf den Ressourcenserver zuzugreifen

Der Kern dieses Prozesses besteht darin, "das Token durch Code zu ersetzen", wodurch die direkte Exposition des Tokens vermieden wird.

2. Die Rolle von JWT in Microservices

JWT (JSON Web Token) ist ein leichtes Datenaustauschformat, das h?ufig zur Authentifizierung verwendet wird. Es enth?lt drei Teile:

• Header: Anweisungen Signaturalgorithmus usw.
• Nutzlast: Enth?lt Benutzerinformationen (z. B. Benutzername, Berechtigungen usw.)
• Signatur: Stellen Sie sicher, dass die Daten nicht manipuliert wurden

In Java Microservices ist die übliche Praxis:

• Der Autorisierungsserver generiert eine Signatur -JWT
• überprüfen Sie die Signaturgültigkeit des JWT, wenn der Microservice eine Anfrage erh?lt
• Geben Sie Benutzerinformationen auf, um festzustellen, ob Sie die Berechtigung zum Zugriff haben

Die Vorteile sind offensichtlich: Staurlos, geeignet für verteilte Systeme; Es gibt auch Nachteile, wie die Unf?higkeit, das Token so einfach wie eine Sitzung rückg?ngig zu machen.

3.. Wie man OAuth2 JWT in Spring Boot integriert

Frühlingssicherheit bietet OAuth2 und JWT eine gute Unterstützung und hier ist eine g?ngige Praxis:

Verwenden von Spring Security OAuth2 Resource Server

Wenn Sie bereits über einen Authentifizierungsserver (z. B. KeyCloak oder selbstgebaute Spring Authorization Server) verfügen, muss jeder Java-Microservice nur als Ressourcenserver verwendet werden, um das Token zu überprüfen.

Zu den wichtigsten Konfigurationsschritten geh?ren:

• Fügen Sie Abh?ngigkeiten hinzu: spring-boot-starter-oauth2-resource-server
• Konfigurieren Sie Issuer-URI und JWK-Set-URI in application.yml
• Schalten Sie die Berechtigungskontrolle auf Methodenebene ein (z. B. @EnableMethodSecurity )

 Frühling:
  Sicherheit:
    OAuth2:
      Ressourcenserver:
        JWT:
          JWK-Set-uri: https: //your-auth-server/.well-noken/jwks.json

Auf diese Weise l?dt Spring automatisch den ?ffentlichen Schlüssel herunter und überprüft, ob die von jeder Anfrage getragene JWT legal ist.

Benutzerdefinierte Berechtigungsaufl?sung (optional)

Sie k?nnen Berechtigungsinformationen in JWT extrahieren, indem Sie beispielsweise JwtAuthenticationConverter implementieren:

 JwttauthenticationConverter jwtConverter = new JwtthenticationConverter ();
jwtconverter.setjwtgrantedAuthoritiesConverter (jwt -> {
    List <String> Autorities = jwt.getClaimastringList ("Beh?rden");
    Rückkehrbeh?rden.Stream ()
        .Map (SimpleGrantedAuthority :: Neu)
        .Collect (sammel.tolist ());
});

Stellen Sie es dann in die Sicherheitskonfiguration ein.

4. H?ufig gestellte Fragen und Vorsichtsma?nahmen

• Die Ablaufzeit von Token sollte nicht zu lang sein : Im Allgemeinen zwischen einigen Minuten und wenigen Stunden eingestellt, um eine langfristige Wirksamkeit nach Leckagen zu vermeiden.
• Das Auffrischen eines Tokens erfordert eine sorgf?ltige Handhabung : Erfrischen ein Token sollte sicherer (wie Httponly -Cookies) gespeichert werden und die Verwendung einschr?nken.
• Cross-Dom?nen-Anfragen erfordern CORs : Insbesondere in Front-End- und Back-End-Trennungsarchitektur achten Sie auf Cross-Dom?nen-Probleme im Authentifizierungsprozess.
• Setzen Sie keine sensiblen Informationen in JWT ein : Obwohl Unterschriften Manipulationen verhindern k?nnen, ist der Inhalt selbst einfach zu sehen.

Grunds?tzlich ist das. Durch die Beherrschung des OAuth2 -Prozesss und der Verwendung von JWT kann das Java Microservice Security System ein solides Fundament legen.

Das obige ist der detaillierte Inhalt vonSicherung von Java Microservices mit OAuth2 und JWT. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!