多因素身份驗證是一種提高產(chǎn)品安全性的方法，它通過要求用戶提供除用戶名和密碼之外的第二種形式的身份驗證來增加額外的安全層。 在本文中，我們將使用 TOTP（基于時間的一次性密碼...
發(fā)簡信
IP屬地：浙江
-
Spring Security 多因素認(rèn)證（MFA） -
ArchUnit：輕松測試軟件架構(gòu)
為什么要測試你的架構(gòu)？ 當(dāng)項目變得更大，架構(gòu)變得更加復(fù)雜。每個項目都有開發(fā)人員需要遵循的標(biāo)準(zhǔn)規(guī)則。新開發(fā)人員加入，他們可能會在不知情的情況下違反架構(gòu)約束。如果每個人都在他們認(rèn)...
-
Spring Security OAuth2 內(nèi)省協(xié)議與 JWT 結(jié)合使用指南
Spring Security OAuth2 內(nèi)省協(xié)議與 JWT 結(jié)合使用指南 概述 我們已經(jīng)熟悉兩種用于授權(quán)服務(wù)器和受保護資源之間傳遞信息的方法：JWT（JSON Web ...
-
Spring Security OAuth2 Opaque 令牌的簡單使用指南
Spring Security OAuth2 Opaque 令牌的簡單使用指南 概述 JWT 是一種以廣泛接受的 JSON 格式安全傳輸敏感信息的方法。包含的信息可能是關(guān)于用...
-
Spring Security OAuth 2.0授權(quán)服務(wù)器結(jié)合Redis實現(xiàn)獲取accessToken速率限制
Spring Security OAuth 2.0授權(quán)服務(wù)器結(jié)合Redis實現(xiàn)獲取accessToken速率限制 概述 在生產(chǎn)環(huán)境中，我們通常頒發(fā)給OAuth2客戶端有效期較...
-
將Spring Security OAuth2授權(quán)服務(wù)JWK與Consul 配置中心結(jié)合使用
將Spring Security OAuth2授權(quán)服務(wù)JWK與Consul 配置中心結(jié)合使用 概述 在前文[http://www.itdecent.cn/p/8464a62...
-
感謝您的評論，首先公共客戶端存在refresh_token泄漏的風(fēng)險，對于公共客戶端是否支持refresh_token存在爭議點。Spring 目前暫不支持公共客戶端頒發(fā)refresh_token。
從代碼層面來看，Spring對于OAuth Client PKCE流程支持源碼如下：OAuth2AuthorizationRequestRedirectFilter->DefaultOAuth2AuthorizationRequestResolver#getBuilder(ClientRegistration clientRegistration),在此方法中明確定義clientAuthenticationMethod==none時授權(quán)請求將攜帶code_challenge和code_challenge_method。
而在整個流程請求token過程中，spring-authorization-server框架OAuth2AuthorizationCodeAuthenticationProvider#authenticate(Authentication authentication)方法中同樣定義客戶端authorizationGrantType包含refresh_token并且clientAuthenticationMethod!=none情況下頒發(fā)refresh_token。源碼如下：
if (registeredClient.getAuthorizationGrantTypes().contains(AuthorizationGrantType.REFRESH_TOKEN) &&
// Do not issue refresh token to public client
!clientPrincipal.getClientAuthenticationMethod().equals(ClientAuthenticationMethod.NONE)) {
...
}
如果您想了解更多可以參考：https://github.com/spring-projects/spring-authorization-server/pull/335Spring Security OAuth2 帶有用于代碼交換的證明密鑰 (PKCE) 的授權(quán)碼流
Spring Security OAuth2 帶有用于代碼交換的證明密鑰 (PKCE) 的授權(quán)碼流 概述 OAuth2依據(jù)是否能持有客戶端密鑰，將客戶端分為兩種類型：公共客戶...
-
Spring Security OAuth2實現(xiàn)簡單的密鑰輪換及配置資源服務(wù)器JWK緩存
Spring Security OAuth2實現(xiàn)簡單的密鑰輪換及配置資源服務(wù)器JWK緩存 概述 在OAuth2協(xié)議中授權(quán)服務(wù)器或者OIDC中身份提供服務(wù)常使用私鑰對JWT令牌...
-
將Spring Cloud Gateway 與OAuth2模式一起使用將Spring Cloud Gateway 與OAuth2模式一起使用 概述 Spring Cloud Gateway是一個構(gòu)建在 Spring 生態(tài)之上的 API Gate...
-
Spring Security和OpenID ConnectSpring Security和OpenID Connect 概述 OpenID Connect 是一個開放標(biāo)準(zhǔn)，由 OpenID 基金會于 2014 年 2 月發(fā)布。它定義...
-
Spring Security OAuth2登錄Spring Security OAuth2登錄 概述 OAuth 2.0 不是身份認(rèn)證協(xié)議。 什么是身份認(rèn)證？身份認(rèn)證是解決“你是誰？”的問題。身份認(rèn)證會告訴應(yīng)用當(dāng)前用戶是...
-
Spring Security OAuth2 帶有用于代碼交換的證明密鑰 (PKCE) 的授權(quán)碼流Spring Security OAuth2 帶有用于代碼交換的證明密鑰 (PKCE) 的授權(quán)碼流 概述 OAuth2依據(jù)是否能持有客戶端密鑰，將客戶端分為兩種類型：公共客戶...
-
Spring Security OAuth2客戶端憑據(jù)授權(quán)Spring Security OAuth2客戶端憑據(jù)授權(quán) 概述 在沒有明確的資源擁有者，或?qū)τ诳蛻舳藖碚f資源擁有者不可區(qū)分，該怎么辦？這是一種相當(dāng)常見的場景。比如后端系統(tǒng)之...
-
Spring Security 持久化OAuth2客戶端
Spring Security 持久化OAuth2客戶端 在之前文章中[http://www.itdecent.cn/p/bef42fd11af8]介紹過了客戶端通過向授權(quán)...
-
自定義OAuth2授權(quán)同意頁面自定義OAuth2授權(quán)同意頁面 前文[http://www.itdecent.cn/p/bef42fd11af8]我們已經(jīng)簡單的介紹了如何搭建授權(quán)服務(wù)器，下面將繼續(xù)介紹如何...
-
華為云開發(fā)者社區(qū)，提供全面深入的云計算前景分析、豐富的技術(shù)干貨、程序樣例，分享華為云前沿資訊動態(tài)，方便開發(fā)者快速成長與發(fā)展，歡迎提問、互動，多方位了解云計算！
-
將JWT與Spring Security OAuth2結(jié)合使用
將JWT與Spring Security OAuth2結(jié)合使用 概述 OAuth 2.0 是行業(yè)標(biāo)準(zhǔn)的授權(quán)協(xié)議。OAuth 2.0 專注于客戶端開發(fā)人員的簡單性，同時為 We...
