首页 / REDIS / Spring Security OAuth2 Redis存储token refresh_token永不过期问题详解

Spring Security OAuth2 Redis存储token refresh_token永不过期问题详解

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了Spring Security OAuth2 Redis存储token refresh_token永不过期问题详解，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含7154字，纯文字阅读大概需要11分钟。

内容图文

Spring Security OAuth2 Redis存储token refresh_token永不过期问题详解

1.先看几个实现类，然后再看源码分析这样会更清晰

OAuth2AccessToken接口的默认实现是DefaultOAuth2AccessToken类（自带过期时间属性）
OAuth2RefreshToken接口的默认实现是DefaultOAuth2RefreshToken类（不带过期时间属性）
ExpiringOAuth2RefreshToken接口父接口是OAuth2RefreshToken，ExpiringOAuth2RefreshToken的默认实现是DefaultExpiringOAuth2RefreshToken（自带过期时间属性）

2.当前demo是使用自定义方式来实现access_token和refresh_token的生成，看如下代码：

package com.yaomy.security.oauth2.enhancer;

import com.google.common.collect.Maps;
import org.apache.commons.lang3.StringUtils;
import org.springframework.security.oauth2.common.*;
import org.springframework.security.oauth2.provider.OAuth2Authentication;
import org.springframework.security.oauth2.provider.token.TokenEnhancer;

import java.util.Map;
import java.util.UUID;

/**
 * @Description: 用户自定义token令牌，包括access_token和refresh_token
 * @ProjectName: spring-parent
 * @Package: com.yaomy.security.oauth2.enhancer.UserTokenEnhancer
 * @Date: 2019/7/9 19:43
 * @Version: 1.0
 */
public class UserTokenEnhancer implements TokenEnhancer {
    /**
     * @Description 重新定义令牌token
     * @Date 2019/7/9 19:56
     * @Version  1.0
     */
    @Override
    public OAuth2AccessToken enhance(OAuth2AccessToken accessToken, OAuth2Authentication authentication) {
       if(accessToken instanceof DefaultOAuth2AccessToken){
           DefaultOAuth2AccessToken token = (DefaultOAuth2AccessToken) accessToken;
           token.setValue(getToken());
           OAuth2RefreshToken refreshToken = token.getRefreshToken();
           if(refreshToken instanceof OAuth2RefreshToken){
               token.setRefreshToken(new OAuth2RefreshToken(getToken()));
           }
           Map<String, Object> additionalInformation = Maps.newHashMap();
           additionalInformation.put("client_id", authentication.getOAuth2Request().getClientId());
           //添加额外配置信息
           token.setAdditionalInformation(additionalInformation);
           return token;
       }
        return accessToken;
    }
    /**
     * @Description 生成自定义token
     * @Date 2019/7/9 19:50
     * @Version  1.0
     */
    private String getToken(){
        return StringUtils.join(UUID.randomUUID().toString().replace("-", ""));
    }
}

在实际的测试环境之中我可以拿到access_token的过期时间，并且在redis的客户端查看access_token相关键值对都是跟我设置的过期时间是一直的，但是refresh_token设置的过期
时间一直不起作用，TTL显示-1，也就是一直有效，感觉就很奇怪，所以就翻看了TokenStore的实现类RedisTokenStore，源码如下

生成access_token键值对的代码如下：

   public void storeAccessToken(OAuth2AccessToken token, OAuth2Authentication authentication) {
       //序列化相关key
        byte[] serializedAccessToken = this.serialize((Object)token);
        byte[] serializedAuth = this.serialize((Object)authentication);
        byte[] accessKey = this.serializeKey("access:" + token.getValue());
        byte[] authKey = this.serializeKey("auth:" + token.getValue());
        byte[] authToAccessKey = this.serializeKey("auth_to_access:" + this.authenticationKeyGenerator.extractKey(authentication));
        byte[] approvalKey = this.serializeKey("uname_to_access:" + getApprovalKey(authentication));
        byte[] clientId = this.serializeKey("client_id_to_access:" + authentication.getOAuth2Request().getClientId());
        RedisConnection conn = this.getConnection();

        try {
            conn.openPipeline();
            if (springDataRedis_2_0) {
                try {
                    //存储键值对
                    this.redisConnectionSet_2_0.invoke(conn, accessKey, serializedAccessToken);
                    this.redisConnectionSet_2_0.invoke(conn, authKey, serializedAuth);
                    this.redisConnectionSet_2_0.invoke(conn, authToAccessKey, serializedAccessToken);
                } catch (Exception var24) {
                    throw new RuntimeException(var24);
                }
            } else {
                conn.set(accessKey, serializedAccessToken);
                conn.set(authKey, serializedAuth);
                conn.set(authToAccessKey, serializedAccessToken);
            }

            if (!authentication.isClientOnly()) {
                conn.sAdd(approvalKey, new byte[][]{serializedAccessToken});
            }

            conn.sAdd(clientId, new byte[][]{serializedAccessToken});
            //设置access_token过期时间
            if (token.getExpiration() != null) {
                int seconds = token.getExpiresIn();
                conn.expire(accessKey, (long)seconds);
                conn.expire(authKey, (long)seconds);
                conn.expire(authToAccessKey, (long)seconds);
                conn.expire(clientId, (long)seconds);
                conn.expire(approvalKey, (long)seconds);
            }

            OAuth2RefreshToken refreshToken = token.getRefreshToken();
            if (refreshToken != null && refreshToken.getValue() != null) {
                byte[] refresh = this.serialize(token.getRefreshToken().getValue());
                byte[] auth = this.serialize(token.getValue());
                byte[] refreshToAccessKey = this.serializeKey("refresh_to_access:" + token.getRefreshToken().getValue());
                byte[] accessToRefreshKey = this.serializeKey("access_to_refresh:" + token.getValue());
                if (springDataRedis_2_0) {
                    try {
                        this.redisConnectionSet_2_0.invoke(conn, refreshToAccessKey, auth);
                        this.redisConnectionSet_2_0.invoke(conn, accessToRefreshKey, refresh);
                    } catch (Exception var23) {
                        throw new RuntimeException(var23);
                    }
                } else {
                    conn.set(refreshToAccessKey, auth);
                    conn.set(accessToRefreshKey, refresh);
                }
                //判断refresh_token对象是否是ExpiringOAuth2RefreshToken的实例对象，这一段是设置refresh_token的关键，如果是就会进行过期时间
                //设置，否则生成的refresh_token相关的键值对永远有效          
                if (refreshToken instanceof ExpiringOAuth2RefreshToken) {
                    ExpiringOAuth2RefreshToken expiringRefreshToken = (ExpiringOAuth2RefreshToken)refreshToken;
                    Date expiration = expiringRefreshToken.getExpiration();
                    if (expiration != null) {
                        int seconds = Long.valueOf((expiration.getTime() - System.currentTimeMillis()) / 1000L).intValue();
                        conn.expire(refreshToAccessKey, (long)seconds);
                        conn.expire(accessToRefreshKey, (long)seconds);
                    }
                }
            }

            conn.closePipeline();
        } finally {
            conn.close();
        }

    }

上面的refreshToken instanceof ExpiringOAuth2RefreshToken这一段代码是来判断刷新token是否是带有有效期时间的ExpiringOAuth2RefreshToken实例对象，我们可以
看到上面我自定义的生成refresh_token的实例对象是OAuth2RefreshToken类型，只带有一个refresh_token值，而没有有效时间的字段值，我们看下ExpiringOAuth2RefreshToken
类的源码：

package org.springframework.security.oauth2.common;

import java.util.Date;

public interface ExpiringOAuth2RefreshToken extends OAuth2RefreshToken {
    Date getExpiration();
}

我们可以看到ExpiringOAuth2RefreshToken是OAuth2RefreshToken的子类，所以我们可以将生成的refresh_token实例对象更改为ExpiringOAuth2RefreshToken对象，代码如下：

    @Override
    public OAuth2AccessToken enhance(OAuth2AccessToken accessToken, OAuth2Authentication authentication) {
       if(accessToken instanceof DefaultOAuth2AccessToken){
           DefaultOAuth2AccessToken token = (DefaultOAuth2AccessToken) accessToken;
           token.setValue(getToken());
           //使用DefaultExpiringOAuth2RefreshToken类生成refresh_token，自带过期时间，否则不生效，refresh_token一直有效
           DefaultExpiringOAuth2RefreshToken refreshToken = (DefaultExpiringOAuth2RefreshToken)token.getRefreshToken();
           //OAuth2RefreshToken refreshToken = token.getRefreshToken();
           if(refreshToken instanceof DefaultExpiringOAuth2RefreshToken){
               token.setRefreshToken(new DefaultExpiringOAuth2RefreshToken(getToken(), refreshToken.getExpiration()));
           }
           Map<String, Object> additionalInformation = Maps.newHashMap();
           additionalInformation.put("client_id", authentication.getOAuth2Request().getClientId());
           //添加额外配置信息
           token.setAdditionalInformation(additionalInformation);
           return token;
       }
        return accessToken;
    }

经测试上面的方案完美解决自定义token生成refresh_token永不过期问题。。。

GitHub源码：https://github.com/mingyang66/spring-parent/edit/master/spring-security-oauth2-server-redis-service/README.md

内容总结

以上是互联网集市为您收集整理的Spring Security OAuth2 Redis存储token refresh_token永不过期问题详解全部内容，希望文章能够帮你解决Spring Security OAuth2 Redis存储token refresh_token永不过期问题详解所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/897735.html

来源：【匿名】

【上一篇】Redis主从架构【下一篇】redis可以做什么？

更多 ►

【Spring Security OAuth2 Redis存储token refresh_token永不过期问题详解】教程文章相关的互联网学习教程文章

阶段5 3.微服务项目【学成在线】_day16 Spring Security Oauth2_15-认证接口开发-Redis配置【图】

4.2 Redis配置 4.2.1 安装Redis 1、安装Redis服务下载Windows版本的redis：https://github.com/MicrosoftArchive/redis/tags 下载Redis-x64-3.2.100版本，解压Redis-x64-3.2.100.zip 进入cmd命令行，进入Redis-x64-3.2.100目录。 redis‐server redis.windows.conf 出现下图说明 redis启动成功：注册为服务： redis‐server ‐‐service‐install redis.windows‐service.conf ‐‐loglevel verbose 刷新服务，会看到多了一个red...

Spring Cloud+OAuth2+Spring Security+Redis 实现微服务统一认证授权，附源码【代码】【图】

因为目前做了一个基于Spring Cloud的微服务项目，所以了解到了OAuth2，打算整合一下OAuth2来实现统一授权。关于OAuth是一个关于授权的开放网络标准，目前的版本是2.0，这里我就不多做介绍了。下面贴一下我学习过程中参考的资料。开发环境：Windows10， Intellij Idea2018.2， jdk1.8， redis3.2.9， Spring Boot 2.0.2 Release， Spring Cloud Finchley.RC2 Spring 5.0.6项目目录eshop —— 父级工程，管理jar包版本eshop-serv...

OAuth + Security - 5 - Token存储升级（数据库、Redis）【代码】【图】

PS：此文章为系列文章，建议从第一篇开始阅读。在我们之前的文章中，我们当时获取到Token令牌时，此时的令牌时存储在内存中的，这样显然不利于我们程序的扩展，所以为了解决这个问题，官方给我们还提供了其它的方式来存储令牌，存储到数据库或者Redis中，下面我们就来看一看怎么实现。不使用Jwt令牌的实现存储到数据库中(JdbcTokenStore)使用数据库存储方式之前，我们需要先准备好对应的表。Spring Security OAuth仓库可以找到相应...

spring boot + spring Security + redis + token 爬坡【代码】

spring boot + spring Security + redis + token 爬坡分为几个部分 spring boot 基本配置 controller接口部分安全校验部分(包括session或者自定义token的形式) redis的token存放于取出 , 在数据库取用户信息 spring boot 基本配置 pom和启动类 https://www.cnblogs.com/funkboy/p/12889708.html pom的jar版本要一一对应,不要产生spring冲突 application.yml 和 properties 配置 https://www.cnblogs.com/luzhanshi/p/10597...

[权限管理系统(四)]-spring boot +spring security短信认证+redis整合【代码】

[权限管理系统]spring boot +spring security短信认证+redis整合 ??现在主流的登录方式主要有 3 种：账号密码登录、短信验证码登录和第三方授权登录,前面一节Spring security（三）---认证过程已分析了spring security账号密码方式登陆，现在我们来分析一下spring security短信方式认证登陆。 ??Spring security 短信方式、IP验证等类似模式登录方式验证，可以根据账号密码方式登录步骤仿写出来，其主要以以下步骤进行展开：自定义...

Spring Security OAuth2 使用Redis存储token键值详解【代码】

1.Spring Security OAuth2存储token值的方式由多种，所有的实现方式都是实现了TokenStore接口InMemoryTokenStore:token存储在本机的内存之中 JdbcTokenStore:token存储在数据库之中 JwtTokenStore:token不会存储到任何介质中 RedisTokenStore:token存储在Redis数据库之中2.看下RedisTokenStore实现类在redis中存储了那些key,贴上源码如下：private static final String ACCESS = "access:";private static final String AUTH_TO_AC...