[[400320]]

今天Spring Security 5.5發(fā)布了，主要涉及OAuth2.0和SAML2.0兩個協(xié)議。其中最大的亮點是支持了OAuth2.0的另一種授權(quán)模式j(luò)wt-bearer。這個模式可能對大家比較陌生，說實話胖哥也沒在實際開發(fā)中玩過這種模式，不過它并不是剛出的規(guī)范，這是2015年5月起草的RFC7523的一部分，如今正式實裝到Spring Security中，今天就和大家一起學(xué)習(xí)一下這個規(guī)范。

JWT Bearer 授權(quán)模式

通常出現(xiàn)在各大技術(shù)社區(qū)的OAuth2.0有四大授權(quán)模式：

授權(quán)碼模式 grant_type=authorization_code。

隱藏模式response_type=token。

密碼模式grant_type=password。

憑據(jù)模式grant_type=client_credentials。

其實這幾種模式中都會用到Bearer Token，甚至Token直接選用JWT技術(shù)。那么它作為一種授權(quán)模式是如何定義的呢?

JWT Bearer 授權(quán)

首先jwt-bearer認(rèn)證請求也要攜帶grant_type參數(shù)來表明使用的授權(quán)模式：

grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer 

這個grant_type有點長!還要攜帶assertion參數(shù)，這個參數(shù)對應(yīng)的值只能是一個JWT，另外也可以攜帶(可選)scope參數(shù)以表明請求的作用域。根據(jù)上面的描述，一個jwt-bearer類型的授權(quán)模式大致是這樣的：

POST /token/oauth2 HTTP/1.1 
     Host: felord.cn 
     Content-Type: application/x-www-form-urlencoded 
 
     grant_type=urn%3Aietf%3Aparams%3Aoauth%3Agrant-type%3Ajwt-bearer 
     &assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9. 
     eyJzdWIiOiJhbGwiLCJhdWQiOiJGZWxvcmRjbiIsInJv. 
     ER2U4CAt1xYxXBmnVQsrirkMwPwxwjWxjs 

其實也就是說用戶如果要請求授權(quán)要先有一個JWT，我個人估計有可能是可以被授權(quán)服務(wù)器信任的第三方JWT憑據(jù)，憑據(jù)校驗通過用戶就可以得到相應(yīng)的授權(quán)去訪問特定的資源。

客戶端身份認(rèn)證

RFC7523還規(guī)定JWT Bearer還可以用于客戶端身份驗證?？蛻舳藬y帶一個client_assertion_type參數(shù)：

client_assertion_type=urn：ietf：params：oauth：client-assertion-type：jwt-bearer 

同Beaerer JWT授權(quán)類似，還要攜帶一個client_assertion參數(shù)，這個參數(shù)同樣要帶一個JWT。請求實例如下：

POST /token/oauth2 HTTP/1.1 
    Host: felord.cn 
    Content-Type: application/x-www-form-urlencoded 
 
    grant_type=authorization_code& 
    code=n0esc3NRze7LTCu7iYzS6a5acc3f0ogp4& 
    client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3A 
    client-assertion-type%3Ajwt-bearer& 
    client_assertion=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9. 
    eyJzdWIiOiJhbGwiLCJhdWQiOiJGZWxvcmRjbiIsInJv. 
    ER2U4CAt1xYxXBmnVQsrirkMwPwxwjWxjs 

場景

那么場景是什么?根據(jù)RFC723的描述，該模式用于當(dāng)客戶端希望利用一個現(xiàn)有的、可信任的、使用JWT語義表達(dá)的關(guān)系來獲取Access Token，它不需要在授權(quán)服務(wù)器上直接進(jìn)行用戶批準(zhǔn)(User Approval)步驟。

另外jwt-bearer也被定義用于客戶端身份驗證機制，來判斷客戶端的身份是否合規(guī)?？蛻舳耸褂肑WT進(jìn)行身份認(rèn)證和客戶端使用JWT進(jìn)行授權(quán)是分離的行為。當(dāng)然這兩種行為可以組合使用，也可以分離使用。客戶端使用JWT進(jìn)行身份驗證僅是客戶端向令牌端點進(jìn)行身份驗證一種替代方法。

個人感覺就是方便在已經(jīng)有JWT體系上使用OAuth2.0協(xié)議。

總結(jié)

今天主要對jwt-bearer授權(quán)模式的協(xié)議進(jìn)行了分享，和其它模式比較起來jwt-bearer還很新，雖然目前還沒有大規(guī)模運用，不過目前我在國外的技術(shù)社區(qū)已經(jīng)發(fā)現(xiàn)了很多關(guān)于這種模式的問題和討論，看來這個模式還是有點東西的，需要留意一下。

本文轉(zhuǎn)載自微信公眾號「碼農(nóng)小胖哥」，可以通過以下二維碼關(guān)注。轉(zhuǎn)載本文請聯(lián)系碼農(nóng)小胖哥公眾號。