OAuth2和基于令牌的身份验证 - 可以使用粘性会话或类似机制

Question

我已经创建了从JHipster开始的应用程序，并在那时实现了JHipster提供的基于令牌的身份验证。即使我将服务器端控制器实现为RESTful服务 - 由于我的多级事务的复杂性，我不得不在UserDetails的自定义实现中将用户上下文保留在服务器上。它在单个JVM实例环境中运行良好，但是当想要将其作为水平集群实现时，我需要确保来自同一用户的请求保持重定向到其上下文所在的JVM。我将Tomcat与Apache HTTP一起用于集群负载平衡和实现。可以在群集中使用此类身份验证（或OAuth2 - 也是无状态）实现类似于粘性会话的机制吗？通过分布式缓存复制用户上下文对我来说不是一个选择，因为它可能非常繁重。

Answer 1

如果我理解了问题，答案是 - 是的，OAuth2是无国籍的。简化图像如下所示：

• 用户在服务器上进行身份验证（登录）
• 用户授权客户端访问服务器上的资源
• Spring生成access_token并将access_token和用户详细信息之间的映射放到令牌存储中。
• 客户端尝试使用access_token
获取资源
• Spring拦截请求 - ＆gt;提取令牌 - ＆gt;通过令牌从令牌存储中获取用户 - ＆gt;将用户添加到上下文中。

默认情况下，spring在内存令牌存储中使用，但您可以设置一个开箱即用的JDBC或只是实现您的JDBC。