多因素身份驗(yàn)證是一種提高產(chǎn)品安全性的方法，它通過(guò)要求用戶提供除用戶名和密碼之外的第二種形式的身份驗(yàn)證來(lái)增加額外的安全層。 在本文中，我們將使用 TOTP（基于時(shí)間的一次性密碼...
發(fā)簡(jiǎn)信
IP屬地：浙江
-
Spring Security 多因素認(rèn)證（MFA） -
ArchUnit：輕松測(cè)試軟件架構(gòu)
為什么要測(cè)試你的架構(gòu)？ 當(dāng)項(xiàng)目變得更大，架構(gòu)變得更加復(fù)雜。每個(gè)項(xiàng)目都有開(kāi)發(fā)人員需要遵循的標(biāo)準(zhǔn)規(guī)則。新開(kāi)發(fā)人員加入，他們可能會(huì)在不知情的情況下違反架構(gòu)約束。如果每個(gè)人都在他們認(rèn)...
-
Spring Security OAuth2 內(nèi)省協(xié)議與 JWT 結(jié)合使用指南
Spring Security OAuth2 內(nèi)省協(xié)議與 JWT 結(jié)合使用指南 概述 我們已經(jīng)熟悉兩種用于授權(quán)服務(wù)器和受保護(hù)資源之間傳遞信息的方法：JWT（JSON Web ...
-
Spring Security OAuth2 Opaque 令牌的簡(jiǎn)單使用指南
Spring Security OAuth2 Opaque 令牌的簡(jiǎn)單使用指南 概述 JWT 是一種以廣泛接受的 JSON 格式安全傳輸敏感信息的方法。包含的信息可能是關(guān)于用...
-
Spring Security OAuth 2.0授權(quán)服務(wù)器結(jié)合Redis實(shí)現(xiàn)獲取accessToken速率限制
Spring Security OAuth 2.0授權(quán)服務(wù)器結(jié)合Redis實(shí)現(xiàn)獲取accessToken速率限制 概述 在生產(chǎn)環(huán)境中，我們通常頒發(fā)給OAuth2客戶端有效期較...
-
將Spring Security OAuth2授權(quán)服務(wù)JWK與Consul 配置中心結(jié)合使用
將Spring Security OAuth2授權(quán)服務(wù)JWK與Consul 配置中心結(jié)合使用 概述 在前文[http://www.lxweimin.com/p/8464a62...
-
感謝您的評(píng)論，首先公共客戶端存在refresh_token泄漏的風(fēng)險(xiǎn)，對(duì)于公共客戶端是否支持refresh_token存在爭(zhēng)議點(diǎn)。Spring 目前暫不支持公共客戶端頒發(fā)refresh_token。
從代碼層面來(lái)看，Spring對(duì)于OAuth Client PKCE流程支持源碼如下：OAuth2AuthorizationRequestRedirectFilter->DefaultOAuth2AuthorizationRequestResolver#getBuilder(ClientRegistration clientRegistration),在此方法中明確定義clientAuthenticationMethod==none時(shí)授權(quán)請(qǐng)求將攜帶code_challenge和code_challenge_method。
而在整個(gè)流程請(qǐng)求token過(guò)程中，spring-authorization-server框架OAuth2AuthorizationCodeAuthenticationProvider#authenticate(Authentication authentication)方法中同樣定義客戶端authorizationGrantType包含refresh_token并且clientAuthenticationMethod!=none情況下頒發(fā)refresh_token。源碼如下：
if (registeredClient.getAuthorizationGrantTypes().contains(AuthorizationGrantType.REFRESH_TOKEN) &&
// Do not issue refresh token to public client
!clientPrincipal.getClientAuthenticationMethod().equals(ClientAuthenticationMethod.NONE)) {
...
}
如果您想了解更多可以參考：https://github.com/spring-projects/spring-authorization-server/pull/335Spring Security OAuth2 帶有用于代碼交換的證明密鑰 (PKCE) 的授權(quán)碼流
Spring Security OAuth2 帶有用于代碼交換的證明密鑰 (PKCE) 的授權(quán)碼流 概述 OAuth2依據(jù)是否能持有客戶端密鑰，將客戶端分為兩種類型：公共客戶...
-
Spring Security OAuth2實(shí)現(xiàn)簡(jiǎn)單的密鑰輪換及配置資源服務(wù)器JWK緩存
Spring Security OAuth2實(shí)現(xiàn)簡(jiǎn)單的密鑰輪換及配置資源服務(wù)器JWK緩存 概述 在OAuth2協(xié)議中授權(quán)服務(wù)器或者OIDC中身份提供服務(wù)常使用私鑰對(duì)JWT令牌...
-
將Spring Cloud Gateway 與OAuth2模式一起使用將Spring Cloud Gateway 與OAuth2模式一起使用 概述 Spring Cloud Gateway是一個(gè)構(gòu)建在 Spring 生態(tài)之上的 API Gate...
-
Spring Security和OpenID ConnectSpring Security和OpenID Connect 概述 OpenID Connect 是一個(gè)開(kāi)放標(biāo)準(zhǔn)，由 OpenID 基金會(huì)于 2014 年 2 月發(fā)布。它定義...
-
Spring Security OAuth2登錄Spring Security OAuth2登錄 概述 OAuth 2.0 不是身份認(rèn)證協(xié)議。 什么是身份認(rèn)證？身份認(rèn)證是解決“你是誰(shuí)？”的問(wèn)題。身份認(rèn)證會(huì)告訴應(yīng)用當(dāng)前用戶是...
-
Spring Security OAuth2 帶有用于代碼交換的證明密鑰 (PKCE) 的授權(quán)碼流Spring Security OAuth2 帶有用于代碼交換的證明密鑰 (PKCE) 的授權(quán)碼流 概述 OAuth2依據(jù)是否能持有客戶端密鑰，將客戶端分為兩種類型：公共客戶...
-
Spring Security OAuth2客戶端憑據(jù)授權(quán)Spring Security OAuth2客戶端憑據(jù)授權(quán) 概述 在沒(méi)有明確的資源擁有者，或?qū)τ诳蛻舳藖?lái)說(shuō)資源擁有者不可區(qū)分，該怎么辦？這是一種相當(dāng)常見(jiàn)的場(chǎng)景。比如后端系統(tǒng)之...
-
Spring Security 持久化OAuth2客戶端
Spring Security 持久化OAuth2客戶端 在之前文章中[http://www.lxweimin.com/p/bef42fd11af8]介紹過(guò)了客戶端通過(guò)向授權(quán)...
-
自定義OAuth2授權(quán)同意頁(yè)面自定義OAuth2授權(quán)同意頁(yè)面 前文[http://www.lxweimin.com/p/bef42fd11af8]我們已經(jīng)簡(jiǎn)單的介紹了如何搭建授權(quán)服務(wù)器，下面將繼續(xù)介紹如何...
-
華為云開(kāi)發(fā)者社區(qū)，提供全面深入的云計(jì)算前景分析、豐富的技術(shù)干貨、程序樣例，分享華為云前沿資訊動(dòng)態(tài)，方便開(kāi)發(fā)者快速成長(zhǎng)與發(fā)展，歡迎提問(wèn)、互動(dòng)，多方位了解云計(jì)算！
-
將JWT與Spring Security OAuth2結(jié)合使用
將JWT與Spring Security OAuth2結(jié)合使用 概述 OAuth 2.0 是行業(yè)標(biāo)準(zhǔn)的授權(quán)協(xié)議。OAuth 2.0 專注于客戶端開(kāi)發(fā)人員的簡(jiǎn)單性，同時(shí)為 We...
