java - Spring Security 和 Spring Social 外部身份验证

Question

随着现在正确进行身份验证变得越来越困难，我决定最好将身份验证留给在安全方面享有良好声誉的公司，例如 Twitter 和 LinkedIn。

我已经阅读了 Spring Security 和 Spring Social 他们的文档，但找不到任何关于完全将身份验证留给第三方的内容。他们只谈论拥有一个混合系统，拥有自己的用户数据库。

从当前版本开始，Spring 是否可以做这样的事情？

我正在使用 Spring Boot Security 1.2 和 Spring Boot Social 1.2.1，但如果有必要，升级对我来说不是问题。

Answer 1

没错..您仍然需要将远程身份验证(即来自 OAuth 提供商)“链接”到本地用户模型。

您的系统正在将身份验证委托(delegate)给远程权限，该权限可识别用户是谁。

处理这个问题的一个明智的方法是，例如，一旦用户登录到 OAuth 提供程序，并且您收到来自用户/提供程序的回调，您就会根据以下内容在本地持久存储中自动为他们创建一个用户模型他们在 OAuth 机构的负责人(通常是他们的电子邮件地址)

通过这种方式，用户不需要在您的服务上手动注册，但您仍然可以获得到实际本地模型的强链接，并且可以根据本地角色/组等应用您自己的授权检查。