oauth - Spring Security 3 使用 OAuth2 进行 SSO

Question

有没有人实际在 Spring Security 3 中使用 OAuth2 进行 SSO？

场景:当我的用户首次尝试访问我网站上的任何 URL 时，我需要将他们重定向到 OAuth2 URL。一旦他们在那里通过身份验证，它会将他们重定向到我网站上的一个 URL，我需要在其中授权他们并创建一个 session ，以便他们在我的网站上保持授权，直到他们注销或超时。

我在 Spring Security 中使用自定义预授权过滤器、自定义用户详细信息服务等尝试了几种配置，但我无法让流程正常工作。我没有附加任何代码，因为我经历了太多的可能性，以至于我什至不确定要发布什么。

如果有人能提供任何指导，我将不胜感激。谢谢!

Answer 1

OAuth2 并非旨在用作 SSO 解决方案。它主要是将代表您访问资源的权利委托(delegate)给其他方(例如应用程序)。因此，如果这不是您需要的东西，那么也许您应该寻找更简单的解决方案。

可以使用 OAuth2 来允许访问提供身份信息的资源，在这种情况下，可以扩展它以供身份验证使用。这是如何OpenID connect使用它(通过添加 userinfo 端点资源)。

您可能想看一下 UAA project在 CloudFoundry 中，它基于 Spring Security OAuth 构建，并以这种方式使用 OAuth2 来提供身份验证服务并向系统内的应用程序颁发访问 token 。