作者回复: 如果只是实现简单的oauth2授权服务，理解清楚RFC6749就可以实现，本课程后面有一个章，演示基于golang的简单oauth2服务器实现。如果要实现企业级的oauth/oidc服务，可以参考ory的hydra(https://github.com/ory/hydra) 还有一个不错的项目fusionauth(https://fusionauth.io/)你也可以研究，它是一个企业级的identity and access management服务器，支持用户数据管理/多因素认证/SSO等功能，也是基于oauth2实现，不过它是免费但是不开源。

2020-05-19

2



周达

User must be authenticated with Spring Security before authorization can be completed 请问这样报错是因为什么，properties里面没有配置账户密码，因为后台有自己的账户密码登录的时候保留在token里面，总问这种问题怎么解决

作者回复: 简化模式获取token之前，用户需要先认证，上面的提示说你没有经过认证。请按照实验的步骤，在application.properties里头配置一个账户密码，然后把浏览器缓存清空一下，浏览器再试，会要求你输入账户密码进行认证。我这边重复做这个实验是OK，其它很多学员也做过这个实验也是OK。

2020-03-24





Wu Feiran

老师，我想问一下：在授权服务器里配置了redirect uri，在往授权服务器发送请求的时候url又带上了相同的redirect_uri(localhost:9001/callback) , 既然授权服务器已经配置了回调地址，为什么发送请求的时候还要带上这个回调地址呢？谢谢！

作者回复: 在RFC6749的简化模式中，这个redirect_uri是optional的，参考： https://tools.ietf.org/html/rfc6749#section-4.2 加的话可以作为多一层的安全校验，防止恶意请求。

2020-03-24





壮壮

在用浏览器获取token的时候，输入的链接的时候一定要仔细，否则在输入用户名和密码之后会报错。波波老师的请求url是： http://localhost:8080/oauth/authorize?client_id=clientaapp&redirect_uri=http://localhost:9001/callback&response_type=token&scope=read_userinfo&state=abc 我自己由于拼写错误导致了报错。报错信息：OAuth Error error="invalid_client", error_description="Bad client credentials" 原因就是我把在浏览器请求的url写错为： http://localhost:8080/oauth/authorize?client_id=clientaapp&redirect_uri=http://localhost:9001/callback&response_type=token&scope=read_userinfo&state=abc。这里的client_id写的有问题，写错为：clientaapp。所以一定要仔细。

作者回复: 谢谢你的提醒！

2019-11-28





大鹏

老师，有几个问题。简化模式是不安全的，我理解的是: 1.token会在浏览器处解析 2.简化模式获取token时没传client secret.别人只要拿到client id就能代表这个客户端去获取token. 这两点缺陷密码模式也有，那么密码模式也一样不安全吗。既然一样不安全，为什么密码模式允许用refresh token？是否可以理解为密码模式比简化模式安全性更高，才允许用refresh toke.那高在哪里呢。还有个问题，我看第七讲讲 spring security auth提到的那个日本公司，并留了个链接，我看了一下。简化模式，获取token的redirect uri是指向client resource的，需要获取脚本解析url #后面的token。为什么在实验中没看到解析过程，直接就返回解析好了的token. 是解析完了吗？另外client resource指向的是什么与client什么区别。

作者回复: 你好，简化模式不安全主要就是你理解的两点： 1，token对浏览器可见， 2，获取令牌时只传clientId，没有经过clientSecret校验。一般简化模式仅适用于安全不严格的应用场景。密码模式在开放平台场景下同样也不安全，但是第一方受信认应用场景是可以的，例如，很多公司为自己开发的无线app使用密码模式。简化模式的令牌解析过程，请参考官方RFC6749文档，4.2节Implicit Grant讲得很清楚，C步骤授权服务器会向浏览器发送重定向指令，重定向地址带#令牌，然后D步骤浏览器根据重定向指令向静态资源服务器(Web Hosted Client Resource)请求静态资源（注意这步#后面的令牌仅留在浏览器端，不会被发送到静态资源服务器），这个静态资源里头含有脚本script，这个脚本在E步骤到达浏览器后可以读取浏览器地址#后面的令牌，这就相当于是一个解析过程。Lab05的Angularjs单页应用实验，代码里头其实有这样一个解析过程。

2019-04-29





张乾坤

在浏览器中使用github上的测试连接（http://localhost:8080/oauth/authorize?client_id=clientapp&redirect_uri=http://localhost:9001/callback&response_type=token&scope=read_userinfo&state=abc）提示输入用户名密码是怎么回事？没有返回视频上的token。

作者回复: 简化模式也是需要用户认证的，输入用户名密码即可，配在application.properties文件里头

2018-09-27





收起评论