使用 OAuth 2.0 增强安全性：在 Spring Boot 中实现社交登录

在现代 Web 开发的世界中，保护您的应用程序并使用户的身份验证尽可能顺利是首要任务。这就是 OAuth 2.0 的用武之地——它是一个强大的工具，不仅可以帮助保护您的 API，还可以让用户使用现有帐户从 Google 和 GitHub 等平台登录。这使每个人的事情变得更容易：用户不需要记住另一个密码，开发人员可以获得可靠的方法来管理身份验证。

在本博客中，我将逐步引导您了解如何在 Spring Boot 应用程序中设置 OAuth 2.0。我们将集成 Google 和 GitHub 进行身份验证，以便您的用户可以选择他们想要使用哪个服务来登录。我还将向您展示如何使用 JWT（JSON Web 令牌）保护您的 API 端点，确保仅经过身份验证的用户可以访问他们应该访问的资源。

无论您是构建新应用程序还是为现有应用程序添加安全性，本指南都将为您提供保持 Spring Boot 应用程序安全和用户友好所需的工具。

访问https://start.spring.io/

创建项目

下载 zip 并解压，然后将项目加载到您的 IDE。

Spring Boot 中的“OAuth2 Client”依赖项简化了 OAuth 2.0 身份验证与 Google 和 GitHub 等提供商的集成。它处理整个 OAuth 登录流程，包括将用户重定向到提供商的登录页面、管理令牌和保护 API 端点。通过添加此依赖项，您可以轻松地在 Spring Boot 应用程序中启用安全且用户友好的身份验证。

Spring Boot 中的“Spring Web”依赖对于开发 Web 应用程序至关重要。它提供了一些基本功能，例如 RESTful API 创建、MVC 架构支持以及提供 HTML 视图的能力。使用 Spring Web，您可以轻松处理 HTTP 请求和响应、管理路由以及与其他 Spring 组件集成，使其成为构建健壮的 Web 应用程序的基础部分。

应用程序配置

要设置 Spring Boot 应用程序以通过 Google 和 GitHub 进行 OAuth 2.0 身份验证，您需要配置 application.properties 文件。此文件包含应用程序的基本设置，包括 OAuth 客户端凭据、日志记录级别和 JWT 配置。

spring.application.name=oauth2-authentication-service
server.port=8000

#for google
spring.security.oauth2.client.registration.google.client-id=YOUR_GOOGLE_CLIENT_ID
spring.security.oauth2.client.registration.google.client-secret=YOUR_GOOGLE_CLIENT_SECRET

#for github
spring.security.oauth2.client.registration.github.client-id=YOUR_GITHUB_CLIENT_ID
spring.security.oauth2.client.registration.github.client-secret= YOUR_GITHUB_CLIENT_SECRET

OAuth 客户端配置： 将 YOUR_GOOGLE_CLIENT_ID、YOUR_GOOGLE_CLIENT_SECRET、YOUR_GITHUB_CLIENT_ID 和 YOUR_GITHUB_CLIENT_SECRET 替换为您注册应用程序时从 Google 和 GitHub 获取的凭据。

要向 Google 和 GitHub 注册您的应用程序以进行 OAuth 2.0 身份验证，我们需要访问 https://console.cloud.google.com

点击API服务

凭证 -> 创建凭证 -> OAuth 客户端 ID

OAuth 客户端 ID -> 创建 OAuth 客户端 ID

选择应用程序类型至网络应用程序

给出应用程序名称

使用此 URL 设置授权重定向 URI，这里我们的应用程序在 8000 端口上运行，因此应用程序端口为 8000。然后单击创建

http://localhost:8000/login/oauth2/code/google

创建 OAuth 客户端后，我们获取客户端 ID 和客户端密钥。

复制两者并替换为 application.properties 文件的属性

spring.security.oauth2.client.registration.google.client-id=YOUR_GOOGLE_CLIENT_ID
spring.security.oauth2.client.registration.google.client-secret=YOUR_GOOGLE_CLIENT_SECRET

SecurityConfig 类使用 OAuth2 配置 Spring Boot 应用程序的安全性。它定义了一个SecurityFilterChain bean，用于设置安全规则。 authorizeHttpRequests 方法确保所有传入请求都需要身份验证。 .oauth2Login(Customizer.withDefaults()) 行使用默认设置启用 OAuth2 登录功能。最后，securityFilterChain方法通过调用http.build()返回配置的安全过滤器链。此设置可确保应用程序安全并支持用户的 OAuth2 身份验证。

通过 Chrome 访问您的应用程序

在开发和测试 Spring Boot 应用程序时，了解如何通过 Postman 与其交互至关重要。如果您的应用程序在端口 8000 上本地运行，您可以使用以下基本 URL 访问它：

http://localhost:8000

我们得到了类似的回应

现在我们可以访问端点了。

GitHub 认证

Spring Boot 中的 GitHub 身份验证允许用户使用其 GitHub 帐户登录，简化了身份验证过程并增强了安全性。通过将 GitHub 集成为 OAuth 2.0 提供商，您的应用程序可以通过 GitHub 的可信平台对用户进行身份验证。这涉及到在 GitHub 上注册您的应用程序以获取客户端 ID 和客户端密钥，然后在您的 Spring Boot 应用程序中进行配置。用户将被重定向到 GitHub 进行登录，身份验证成功后，他们将被重定向回您的应用程序并使用访问令牌，从而允许安全访问您的受保护资源。这种集成非常适合针对开发人员和精通技术的用户的应用程序。

创建 GitHub 帐户并转到设置

在左上角我们得到开发者设置

导航到 OAuth 应用程序

单击创建 OAuth 应用程序

我们得到这样的界面

根据您的应用端口设置**授权回调URL**

http://localhost:8000/login/oauth2/code/github

并设置主页URL

http://localhost:8000

注册应用程序后，我们获得客户端 ID 和客户端密钥

现在替换为 Application.properties 文件属性

spring.security.oauth2.client.registration.github.client-id=Ov23liBMLc5e1ItoONPx
spring.security.oauth2.client.registration.github.client-secret= 

测试 GitHub 登录

使用 GitHub 登录：出现提示时，使用您的 GitHub 凭据登录。
成功重定向：身份验证成功后，您将被重定向到应用程序的 /home 页面。

您可以在我的 GitHub 存储库上探索用户身份验证服务的完整源代码。该项目展示了各种功能，例如用户注册、登录和使用 JWT 进行身份验证的安全访问。请随意查看、贡献或将其用作您自己的项目的参考！

GitHub 存储库：https://github.com/ishrivasayush/oauth2-authentication-service

结论

使用 Spring Boot 实现 OAuth 2.0，使用 Google 和 GitHub 作为身份验证提供程序，是增强应用程序安全性和可用性的有效方法。通过允许用户使用现有帐户登录，您可以减少摩擦并提供更流畅的用户体验。同时，使用 JWT 保护您的 API 端点可确保只有经过身份验证的用户才能访问敏感资源。

通过本指南，我们涵盖了从在 Google 和 GitHub 上设置 OAuth 凭据到配置 Spring Boot 应用程序以处理身份验证和保护端点的所有内容。无论您是 OAuth 2.0 的新手还是希望将其集成到您的项目中，这些步骤都将帮助您构建安全且可扩展的身份验证系统。

安全是一个永无止境的旅程，但通过正确的工具和实践，您可以构建既安全又用户友好的应用程序。现在您已经有了坚实的基础，您可以通过添加更多提供商、自定义用户体验或更深入地研究 JWT 配置来进一步探索。快乐编码！