java - OAuth 资源所有者密码 Java

Question

是否有 OAuth 资源所有者密码流程的 Java 提供程序实现或要包含在我的项目中的库？

我已了解到 Spring Security 为这些库提供了服务器或提供程序实现，我是否可以仅将这些 Spring 库包含到我的标准 Java EE 项目中而不使用完整的 Spring 堆栈？

是否可以或合理地按照 RFC 实现该流程的 OAuth 提供程序和客户端？

Answer 1

UAA项目使用 Spring Security 的 OAuth 提供程序来实现完整的 OAuth2 授权服务器(包括资源所有者授权)。为什么不使用它呢？

如果不使用 Spring，您就无法“仅将这些 Spring 库包含到我的标准 Java EE 项目中”。从你的问题中并不清楚你希望它如何运作。例如，授权服务器将在哪里实现？

当然可以自己实现 OAuth2 提供程序，特别是如果您只使用规范的一部分，但如果它只是您的主要应用程序开发的附带内容，那么它就不是微不足道的，而且可能不“合理”。

当已从授权服务器获取 token 的应用程序访问资源服务器时，您仍然需要考虑如何保护资源服务器。换句话说，他们需要能够检查和理解所颁发的 token ，并根据它做出访问决策。