授權服務：授權碼和訪問令牌的頒發流程是怎樣的？
作者：架構師秋天
通過這篇文章，我們詳細解析了OAuth 2.0中授權服務的授權碼和訪問令牌頒發流程，并通過源碼分析展示了各個關鍵步驟的實現。希望本文能讓你對授權碼許可流程有更深入的理解。
今天，我們將深入探索OAuth 2.0體系中最經典的授權碼許可流程，特別是其中的授權服務如何頒發授權碼和訪問令牌。本文會結合關鍵源碼片段和詳盡注釋，帶你逐步掌握授權服務的核心邏輯。
一、OAuth 2.0中的授權服務是什么？
在OAuth 2.0授權體系中，授權服務（Authorization Server）是負責頒發訪問令牌的核心組件。它的主要任務是：
- 驗證客戶端的身份是否合法；
- 生成并頒發授權碼（Authorization Code）和訪問令牌（Access Token）；
- 管理和驗證令牌的有效性和過期狀態；
- 支持刷新令牌的生成，確保用戶不在場的情況下，應用也能繼續訪問資源。
要理解授權服務的工作原理，首先需要明白OAuth 2.0體系中的授權碼許可流程是如何運作的。
二、授權碼許可流程概覽
授權碼許可（Authorization Code Grant）是OAuth 2.0中最常用的授權類型，其流程可以概括為以下幾步：
- 用戶授權請求：用戶在客戶端上發起訪問資源的請求，客戶端將用戶重定向至授權服務的登錄頁面。
- 用戶同意授權：用戶在授權服務頁面進行登錄認證，并同意將部分權限授予客戶端。
- 獲取授權碼：用戶授權后，授權服務生成授權碼，并將其返回給客戶端。
- 交換授權碼：客戶端將獲得的授權碼發送給授權服務，授權服務驗證通過后生成訪問令牌并返回給客戶端。
- 訪問資源服務器：客戶端使用訪問令牌，向資源服務器發起請求以獲取用戶數據。
授權碼許可流程的關鍵組件
- 客戶端：即第三方應用，比如你手機上的應用。
- 授權服務：負責頒發授權碼和訪問令牌。
- 資源服務器：存儲用戶數據，比如用戶的訂單信息。
- 資源所有者：即用戶，擁有訪問資源的權限。
接下來，讓我們通過代碼解析授權服務的核心流程。
三、代碼解析：授權碼和訪問令牌的生成
3.1 獲取授權碼
在OAuth 2.0中，授權碼的生成是授權服務的第一步操作。以下為獲取授權碼的示例代碼。
授權服務代碼示例
// AuthorizationEndpoint.java
@RestController
@RequestMapping("/oauth")
public class AuthorizationEndpoint {
@Autowired
private AuthorizationService authorizationService;
@GetMapping("/authorize")
public ResponseEntity<?> authorize(
@RequestParam("response_type") String responseType,
@RequestParam("client_id") String clientId,
@RequestParam("redirect_uri") String redirectUri,
@RequestParam("scope") String scope,
@RequestParam("state") String state
) {
// Step 1: 驗證客戶端ID是否合法
if (!authorizationService.isClientValid(clientId)) {
return ResponseEntity.status(HttpStatus.BAD_REQUEST).body("Invalid client_id");
}
// Step 2: 驗證redirect_uri是否合法
if (!authorizationService.isRedirectUriValid(clientId, redirectUri)) {
return ResponseEntity.status(HttpStatus.BAD_REQUEST).body("Invalid redirect_uri");
}
// Step 3: 生成授權碼
String authorizationCode = authorizationService.generateAuthorizationCode(clientId, redirectUri, scope);
// Step 4: 將授權碼和狀態碼一起重定向回客戶端
URI location = URI.create(redirectUri + "?code=" + authorizationCode + "&state=" + state);
return ResponseEntity.status(HttpStatus.FOUND).location(location).build();
}
}代碼解讀
- 驗證客戶端ID：isClientValid(clientId)方法檢查請求中的客戶端ID是否合法。
- 驗證重定向URI：isRedirectUriValid方法確保redirect_uri與客戶端注冊的回調地址匹配，避免授權碼泄露。
- 生成授權碼：generateAuthorizationCode方法會根據客戶端ID、回調URI和權限范圍生成唯一的授權碼。
- 返回授權碼：通過重定向，將生成的授權碼返回給客戶端。客戶端隨后可以使用授權碼請求訪問令牌。
3.2 獲取訪問令牌
授權碼生成后，客戶端會調用授權服務的另一個接口，將授權碼交換為訪問令牌。以下為訪問令牌的獲取流程：
// TokenEndpoint.java
@RestController
@RequestMapping("/oauth")
public class TokenEndpoint {
@Autowired
private AuthorizationService authorizationService;
@PostMapping("/token")
public ResponseEntity<?> getToken(
@RequestParam("grant_type") String grantType,
@RequestParam("code") String code,
@RequestParam("redirect_uri") String redirectUri,
@RequestParam("client_id") String clientId,
@RequestParam("client_secret") String clientSecret
) {
// Step 1: 驗證授權碼是否合法
if (!authorizationService.isAuthorizationCodeValid(code, clientId, redirectUri)) {
return ResponseEntity.status(HttpStatus.BAD_REQUEST).body("Invalid authorization code");
}
// Step 2: 驗證客戶端ID和密鑰
if (!authorizationService.isClientAuthenticated(clientId, clientSecret)) {
return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body("Client authentication failed");
}
// Step 3: 生成訪問令牌
String accessToken = authorizationService.generateAccessToken(clientId, code);
// Step 4: 返回訪問令牌
return ResponseEntity.ok(Collections.singletonMap("access_token", accessToken));
}
}代碼解讀
- 驗證授權碼：isAuthorizationCodeValid方法檢查授權碼是否有效，以及是否匹配客戶端ID和回調URI。
- 驗證客戶端身份：通過client_id和client_secret進行身份驗證，確保客戶端的請求合法。
- 生成訪問令牌：generateAccessToken方法會為有效的授權碼生成一個唯一的訪問令牌。
- 返回訪問令牌：將訪問令牌返回給客戶端，客戶端可以使用此令牌訪問資源服務器上的用戶數據。
3.3 訪問令牌的管理
在實際應用中，訪問令牌通常具有一定的有效期，超過有效期后需要重新生成。
// AuthorizationService.java
@Service
public class AuthorizationService {
private Map<String, String> authorizationCodes = new HashMap<>();
private Map<String, String> accessTokens = new HashMap<>();
private static final long TOKEN_EXPIRY = 3600L; // 1小時
// 生成授權碼
public String generateAuthorizationCode(String clientId, String redirectUri, String scope) {
String code = UUID.randomUUID().toString();
authorizationCodes.put(code, clientId + ":" + redirectUri + ":" + scope);
return code;
}
// 驗證授權碼
public boolean isAuthorizationCodeValid(String code, String clientId, String redirectUri) {
String storedCode = authorizationCodes.get(code);
if (storedCode == null) {
return false;
}
String[] parts = storedCode.split(":");
return parts[0].equals(clientId) && parts[1].equals(redirectUri);
}
// 生成訪問令牌
public String generateAccessToken(String clientId, String code) {
String token = UUID.randomUUID().toString();
accessTokens.put(token, clientId + ":" + System.currentTimeMillis());
return token;
}
// 驗證令牌是否有效
public boolean isAccessTokenValid(String token) {
String storedToken = accessTokens.get(token);
if (storedToken == null) {
return false;
}
long issuedTime = Long.parseLong(storedToken.split(":")[1]);
return (System.currentTimeMillis() - issuedTime) < TOKEN_EXPIRY * 1000;
}
}代碼解讀
- 生成授權碼：使用UUID生成唯一的授權碼，并存儲在authorizationCodes集合中。
- 驗證授權碼：檢查授權碼是否有效，是否與客戶端ID和回調URI匹配。
- 生成訪問令牌：根據客戶端ID和授權碼生成訪問令牌，存儲在accessTokens集合中。
- 驗證訪問令牌：檢查令牌的存儲時間，判斷是否過期。
四、令牌刷新
令牌過期后，可以通過刷新令牌（Refresh Token）來重新獲取新的訪問令牌。刷新令牌機制避免了用戶頻繁授權，也確保客戶端在用戶不在場的情況下繼續使用。
// TokenEndpoint.java
@PostMapping("/refresh")
public ResponseEntity<?> refreshAccessToken(
@RequestParam("grant_type") String grantType,
@RequestParam("refresh_token") String refreshToken,
@RequestParam("client_id") String clientId,
@RequestParam("client_secret") String clientSecret
) {
if (!authorizationService.isRefreshTokenValid(refreshToken, clientId)) {
return ResponseEntity.status(HttpStatus.UNAUTHORIZED).
body("Invalid refresh token");
}
String newAccessToken = authorizationService.refreshAccessToken(clientId, refreshToken);
return ResponseEntity.ok(Collections.singletonMap("access_token", newAccessToken));
}代碼解讀
- 驗證刷新令牌：確認refreshToken是否與客戶端ID匹配。
- 生成新令牌：調用refreshAccessToken生成新的訪問令牌。
五、總結
通過這篇文章，我們詳細解析了OAuth 2.0中授權服務的授權碼和訪問令牌頒發流程，并通過源碼分析展示了各個關鍵步驟的實現。希望本文能讓你對授權碼許可流程有更深入的理解。
責任編輯：武曉燕
來源：
架構師秋天
