Spring Security 5 OAuth 2.0 Как ResourceServer взаимодействует с AuthorizationServer?

Question

В настоящее время я разрабатываю внутренний проект в своей компании, в котором используется авторизация на основе доступа к ролям с использованием Spring Security с OAuth2 и JWT.

Мне удалось разработать AuthorizationServer, который просто возвращает маркер доступа с моей пользовательской заявкой.

Я также уже смог создать ResourceServer, который сможет декодировать токен доступа для проверки роли пользователя и доступа.

Я следовал RFC 6749 OAuth 2.0 Framework Authorization Framework.которые показывают диаграмму, подобную этой: доступ и обновление потока протокола токена

Мой вопрос заключается в том, как ResourceServer связывается с AuthorizationServer для проверки токена доступа, токен все еще действителен или нет?

сомнительный поток, который я имел в виду

Я изучаю ответ на этот вопрос и обнаружил, что ResourceServer проверяет сам токен в цепочке фильтров безопасности, это полностью верноЕсть ли какой-нибудь ответ о том, как ResourceServer может проверить токен?Проверяет ли ResourceServer весь токен, когда запрашивается конечная точка ResourceServer?Что, если мы хотим вручную активировать или проверить токен, есть ли способ сделать это?

Answer 1

Для тех, кто ищет просветления, вот объяснение.

Вопрос 1 (Q1): Как ResourceServer взаимодействует с AuthorizationServer для проверки токена доступа либо токенавсе еще действителен или нет?

Ответ на вопрос 1: Таким образом, в некотором смысле мы использовали асимметричный ключ (закрытый-открытый ключ) в наших процессах аутентификации и авторизации, мы поделились открытым ключом с нашимРесурс сервера и сохранил закрытый ключ на нашем сервере авторизации.Мы делаем это, чтобы достичь цели разделения авторизации и сервера ресурсов.Открытый ключ на сервере ресурсов используется, когда любой запрос с токеном, поступающим в конечную точку ресурса, может быть проверен, если токен был создан с сервера авторизации, который содержит правильную пару закрытого ключа.

Вопрос 2 (Q2) : «Я изучил ответ на этот вопрос и обнаружил, что ResourceServer сам проверяет токен в цепочке фильтров безопасности, это полностью верно?»

Ответ на вопрос 2: В какой-то момент верно, что используемый токен JWT имеет недопустимую подпись, токен не может быть преобразован в JSON, поэтому после этого сервер ресурсов выдаст ошибку недопустимого токена.

Вопрос 3(Q3) : есть ли какой-нибудь ответ о том, как ResourceServer может проверить токен?

Ответ на Q3: этот ответ связан с Q2, который является моим единственным лидерством в настоящее времявремя.

Вопрос 4 (Q4) : Проверяет ли ResourceServer весь токен, когда запрашивается конечная точка ResourceServer?

Ответ на вопрос 4: Да, если добавить аннотацию @EnableResourceServer и правильно настроить конечную точку.

Вопрос 5 (Q5) : Что еслимы хотим вручную активировать или проверить токен, есть ли способ сделать это?

Ответ на вопрос 5: Все еще не найдено ни одного отведения на этом.