OAuth 2.1 不只是一个可以忽略的小更新。它更像是 OAuth 2.0 的安全意识表亲，在家庭烧烤聚会上指出你可能会不小心自焚的所有方式。

但在我们深入探讨 OAuth 话题之前，让我们快速回顾一下历史：

  • 2012年：OAuth 2.0 闪亮登场，革新了授权方式
  • 2020年：OAuth 2.1 草案出现，承诺修复前任的缺陷
  • 今天：我们都在努力弄清楚这对我们的应用意味着什么

OAuth 2.1 的关键变化：旧的走开，安全的来临

OAuth 2.1 就像是受 Marie Kondo 启发的 OAuth 2.0 清理行动。它的目标是通过清除杂乱来激发快乐（和安全）。以下是变化内容：

1. 再见，隐式流

还记得隐式流吗？是的，OAuth 2.1 也不想记得。由于安全问题，它被淘汰了。如果你还在使用它，是时候升级了。

2. PKCE：不再仅限于移动设备

PKCE（代码交换证明密钥）现在对所有 OAuth 客户端都是强制性的。就像给你的授权流程戴上头盔——当然，它可能会弄乱你的发型，但它会保护你的大脑。

3. 刷新令牌：现在更加新鲜

OAuth 2.1 引入了更严格的刷新令牌规则。它们现在必须是发送者约束的或一次性使用的。就像给你的令牌设定一个过期日期，以防止它们变得陈旧（并可能有害）。

OAuth 2.1 vs OAuth 2.0：找出不同

想象一下 OAuth 2.0 和 2.1 是一对双胞胎。乍一看，它们看起来一样，但仔细观察：

功能 OAuth 2.0 OAuth 2.1
隐式流 支持 移除
PKCE 可选 强制
刷新令牌 灵活 更严格的规则
安全最佳实践 推荐 强制

实施 OAuth 2.1：实用指南

现在，让我们动手实践。以下是如何在你的应用中实施 OAuth 2.1：

步骤 1：选择你的工具（库）

对于 Java 开发者来说，Spring Security 是一个不错的选择。以下是如何使用 Spring Security 配置 OAuth 2.1 的简单示例：


@Configuration
@EnableWebSecurity
public class OAuth2ClientSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .oauth2Client(oauth2 -> oauth2
                .clientRegistrationRepository(clientRegistrationRepository())
                .authorizedClientRepository(authorizedClientRepository())
            )
            .oauth2Login(oauth2 -> oauth2
                .loginPage("/oauth2/authorization/my-client-1")
                .authorizationEndpoint(authorization -> authorization
                    .baseUri("/oauth2/authorization")
                )
            );
    }

    @Bean
    public ClientRegistrationRepository clientRegistrationRepository() {
        return new InMemoryClientRegistrationRepository(this.googleClientRegistration());
    }

    private ClientRegistration googleClientRegistration() {
        return ClientRegistration.withRegistrationId("google")
            .clientId("google-client-id")
            .clientSecret("google-client-secret")
            .clientAuthenticationMethod(ClientAuthenticationMethod.BASIC)
            .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
            .redirectUri("{baseUrl}/login/oauth2/code/{registrationId}")
            .scope("openid", "profile", "email")
            .authorizationUri("https://accounts.google.com/o/oauth2/v2/auth")
            .tokenUri("https://www.googleapis.com/oauth2/v4/token")
            .userInfoUri("https://www.googleapis.com/oauth2/v3/userinfo")
            .userNameAttributeName(IdTokenClaimNames.SUB)
            .jwkSetUri("https://www.googleapis.com/oauth2/v3/certs")
            .clientName("Google")
            .build();
    }
}

步骤 2：实施 PKCE

PKCE 现在是强制性的，所以让我们将其添加到我们的流程中：


public class PKCEUtil {
    public static String generateCodeVerifier() {
        SecureRandom secureRandom = new SecureRandom();
        byte[] codeVerifier = new byte[32];
        secureRandom.nextBytes(codeVerifier);
        return Base64.getUrlEncoder().withoutPadding().encodeToString(codeVerifier);
    }

    public static String generateCodeChallenge(String codeVerifier) throws NoSuchAlgorithmException {
        byte[] bytes = codeVerifier.getBytes(StandardCharsets.US_ASCII);
        MessageDigest messageDigest = MessageDigest.getInstance("SHA-256");
        messageDigest.update(bytes, 0, bytes.length);
        byte[] digest = messageDigest.digest();
        return Base64.getUrlEncoder().withoutPadding().encodeToString(digest);
    }
}

步骤 3：保护你的令牌

在 OAuth 2.1 中，我们需要更加小心地处理令牌。以下是安全存储它们的简单方法：


@Service
public class TokenService {
    private final Map tokenStore = new ConcurrentHashMap<>();

    public void storeToken(String userId, OAuth2AuthorizedClient client) {
        tokenStore.put(userId, client);
    }

    public OAuth2AuthorizedClient getToken(String userId) {
        return tokenStore.get(userId);
    }

    public void removeToken(String userId) {
        tokenStore.remove(userId);
    }
}

在 OAuth 2.1 中管理会话和令牌

OAuth 2.1 更加强调令牌管理。以下是一些最佳实践：

  • 使用短期访问令牌（15分钟到1小时）
  • 为刷新令牌实施令牌轮换
  • 安全存储令牌（最好加密）
  • 实施适当的令牌撤销机制

安全建议和最佳实践

在 OAuth 2.1 中，安全不仅仅是一个功能，而是一种生活方式。以下是一些保持实现安全的建议：

  1. 始终使用 HTTPS。没有例外。
  2. 实施适当的 CSRF 保护
  3. 使用状态参数防止 CSRF 攻击
  4. 验证所有输入和输出
  5. 保持客户端密钥的机密性

OAuth 2.1 在微服务中的应用：天作之合？

OAuth 2.1 和微服务就像牛油果和吐司一样搭配。原因如下：

  • 集中式身份验证和授权
  • 与 API 网关的轻松集成
  • 支持细粒度的访问控制

以下是如何在 Spring Boot 微服务中设置 OAuth 2.1 的简单示例：


@Configuration
@EnableResourceServer
public class ResourceServerConfig extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .antMatchers("/api/**").authenticated()
            .and()
            .oauth2ResourceServer()
            .jwt();
    }
}

OAuth 的未来：接下来是什么？

当我们凝视水晶球时，我们看到了 OAuth 的未来：

  • 更加关注隐私和数据保护
  • 更好地与新兴技术（物联网、区块链）集成
  • 为开发者简化实现
  • 更加强调用户同意和控制

总结

OAuth 2.1 不仅仅是一个小更新——它是朝着更安全和简化授权的重要一步。通过简化协议和强制执行最佳实践，它旨在让我们作为开发者的生活更轻松，同时保护用户的数据。

记住，安全不是一次性的事情。它是一个持续的过程。保持信息更新，继续学习，愿你的令牌永远新鲜，你的授权流程安全！

“预测未来的最佳方式是实现它。” - Alan Kay（为开发者改编）

现在去负责任地使用 OAuth 吧！