Spring @EnableResourceServer vs @ EnableOAuth2Sso

Question

到目前为止我阅读的大多数教程在API网关上使用@EnableOAuth2Sso而不是@EnableResourceServer。有什么区别？相比OAuth2Sso的作用是什么？

详细信息：我正在为基于Spring的微服务和单页应用实施安全/基础架构。有一段时间，虽然我们没有安全要求，但是在不同的主机（CORS方）上，SPA直接与开放式微服务进行了对话。

现在，我使用spring-oauth和spring-zuul添加了一层安全性和网关模式。所以我有@EnableAuthorizationServer的服务（uaa-service）和@EnableZuulProxy＆amp;的网关。 @EnableResourceServer。我只需要密码授权类型，因此每个SPA都有自己的登录表单，并通过网关通过uaa-service令牌端点进行身份验证，然后继续使用该令牌进行进一步的请求

这种方法有什么问题吗？我应该使用@EnableOAuth2Sso吗？

Answer 1

这些注释使用不同的OAuth 2.0 roles标记您的服务。

@EnableResourceServer 注释意味着您的服务（就OAuth 2.0而言 - 资源服务器）需要访问令牌才能处理请求。在调用资源服务器之前，应通过OAuth 2.0 Client从授权服务器获取访问令牌。

@ EnableOAuth2Sso：将您的服务标记为OAuth 2.0客户端。这意味着它将负责将资源所有者（最终用户）重定向到用户必须输入其凭据的授权服务器。完成后，用户将被重定向回具有授权码的客户端（不要与访问代码混淆）。然后客户端通过调用授权服务器获取授权代码并将其交换为访问令牌。只有在此之后，客户端才能使用访问令牌调用资源服务器。

另外，如果您查看@EnableOAuth2Sso注释的源代码，您会看到两件有趣的事情：

• @EnableOAuth2Client。这是您的服务成为OAuth 2.0客户端的地方。如果您通过OAuth2RestTemplate呼叫这些服务，则可以将访问令牌（在交换授权码之后）转发给下游服务。
• @EnableConfigurationProperties(OAuth2SsoProperties.class)。 OAuth2SsoProperties只有一个属性String loginPath，默认为/login。这将拦截/login之前OAuth2ClientAuthenticationProcessingFilter的浏览器请求，并将用户重定向到授权服务器。

  

我应该使用@ EnableOAuth2Sso吗？

取决于：

• 如果您希望您的API网关是使用授权代码流或资源所有者密码凭据流与浏览器交互的OAuth 2.0客户端，则答案是肯定的，你可能应该。我说可能是因为我不确定@EnableOAuth2Sso是否支持资源所有者密码凭证流程。无论如何，我建议你使用授权代码流程，除非你真的（真的！）有充分的理由不这样做。顺便说一句，在使用授权代码流时，您可能希望将下游微服务标记为@EnableResourceServer。然后API网关将是OAuth 2.0客户端，您的微服务将是OAuth 2.0资源服务器，这对我来说似乎是合乎逻辑的。
• 如果您不需要与浏览器进行交互（例如客户端凭据流），或者您使用的是使用隐式流的SPA，那么您应该使用@EnableResourceServer，这意味着只接受具有有效访问令牌的请求。