Spring Boot OAuth 2 - 更改密码时刷新令牌过期

Question

我使用 Spring Boot/OAuth 创建了一个 API。目前设置为 access_tokens 有效期为 30 天，refresh_tokens 有效期为 5 年。有人要求 OAuth 以这种方式工作，以便可以一遍又一遍地使用单个 refresh_token。我们还需要做的是在用户更改密码时实现某种使刷新令牌过期的方法，这就是我正在努力解决的问题，因为我们没有像使用 JWT 那样使用令牌存储，所以没有必要存储令牌，甚至当我们将其存储在数据库中时，我们经常会遇到 'Invalid refresh token' 错误，因此删除了令牌存储。

我的问题是，您如何处理过期的刷新令牌，例如，当用户更改密码时（根据 OAuth 的建议）。

我的客户特别要求返回的 refresh_token 是长寿命的，但我担心长寿命的刷新令牌不是很安全，就好像有人拿到了那个令牌一样可以访问用户帐户，直到该令牌自然过期。就我个人而言，我更愿意在 refresh_tokens 上设置一个较短的有效期，比如 45 天，迫使客户至少每 45 天存储一个新的 refresh_token。

这是我的一些配置类以确保安全，以展示我目前的设置；

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Autowired
    private Environment env;

    @Autowired
    private CustomUserDetailsService userDetailsService;

    @Autowired
    private AccountAuthenticationProvider accountAuthenticationProvider;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService);
        auth.authenticationProvider(accountAuthenticationProvider);
    }

    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Bean
    public JwtAccessTokenConverter jwtAccessTokenConverter() {
        final JwtAccessTokenConverter jwtAccessTokenConverter = new JwtAccessTokenConverter();
        jwtAccessTokenConverter.setSigningKey(env.getProperty("jwt.secret"));
        return jwtAccessTokenConverter;
    }

}



@Configuration
public class OAuth2ServerConfiguration {

    private static final String RESOURCE_ID = "myapi";

    @Autowired
    DataSource dataSource;

    @Bean
    public TokenStore tokenStore() {
        return new JdbcTokenStore(dataSource);
    }

    @Configuration
    @EnableResourceServer
    protected static class ResourceServerConfiguration extends ResourceServerConfigurerAdapter {

        @Autowired
        TokenStore tokenStore;

        @Override
        public void configure(ResourceServerSecurityConfigurer resources) {
            resources
                    .resourceId(RESOURCE_ID)
                    .tokenStore(tokenStore);
        }

        @Override
        public void configure(HttpSecurity http) throws Exception {
            http
                    .csrf().disable()
                    .authorizeRequests()
                    .antMatchers("/oauth/**", "/view/**").permitAll()
                    .anyRequest().authenticated();
        }
    }

    @Configuration
    @EnableAuthorizationServer
    protected static class AuthorizationServerConfiguration extends AuthorizationServerConfigurerAdapter {
        @Autowired
        private JwtAccessTokenConverter jwtAccessTokenConverter;

        @Autowired
        private DataSource dataSource;

        @Autowired
        private TokenStore tokenStore;

        @Autowired
        private CustomUserDetailsService userDetailsService;

        @Autowired
        @Qualifier("authenticationManagerBean")
        private AuthenticationManager authenticationManager;

        @Override
        public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
            endpoints
                    //.tokenStore(tokenStore)
                    .authenticationManager(authenticationManager)
                    .userDetailsService(userDetailsService)
                    .accessTokenConverter(jwtAccessTokenConverter);
        }

        @Override
        public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
            clients
                    .jdbc(dataSource);
        }
    }

}

Answer 1

如果使用 JWT，则不支持撤销令牌。如果您想实现此功能，您应该考虑改用 JdbcTokenStore。

@Bean
public TokenStore tokenStore() { 
    return new JdbcTokenStore(dataSource()); 
}

@Bean
public DataSource dataSource() { 
    DriverManagerDataSource jdbcdataSource =  new DriverManagerDataSource();
    jdbcdataSource.setDriverClassName(env.getProperty("jdbc.driverClassName"));
    jdbcdataSource.setUrl(env.getProperty("jdbc.url"));//connection String
    jdbcdataSource.setUsername(env.getProperty("jdbc.user"));
    jdbcdataSource.setPassword(env.getProperty("jdbc.pass")); 
    return dataSource;
}

当用户修改密码时，你应该调用revokeToken API

@Resource(name="tokenServices")
ConsumerTokenServices tokenServices;

@RequestMapping(method = RequestMethod.POST, value = "/tokens/revoke/{tokenId:.*}")
@ResponseBody
public String revokeToken(@PathVariable String tokenId) {
    tokenServices.revokeToken(tokenId);
    return tokenId;
}

JDBCTokenStore 还公开了一种方法，您可以使用该方法使刷新令牌无效

@RequestMapping(method = RequestMethod.POST, value = "/tokens/revokeRefreshToken/{tokenId:.*}")
@ResponseBody
public String revokeRefreshToken(@PathVariable String tokenId) {
    if (tokenStore instanceof JdbcTokenStore){
        ((JdbcTokenStore) tokenStore).removeRefreshToken(tokenId);
    }
    return tokenId;
}

Spring Boot OAuth 2 - 更改密码时刷新令牌过期

Spring Boot OAuth 2 - expiring refresh tokens when password changed

spring-security

jwt

spring-boot

spring-security-oauth2