草庐IT

springsecurity+jwt+oauth2.0校验jwt的过期时间源码解读

hero_is_me 2023-04-08 原文

场景描述

  1. 笔者的项目架构采用的是springsecurity+jwt+oauth2.0架构，配置的多客户端校验权限获取jwt访问系统资源。
  2. 也就是说系统存在web，小程序，手机号三个用户体系，对应三个用户主表。
  3. 每个客户端在BaseClientDetails的access_token_validity和refresh_token_validity配置jwt的access_token和refresh_token的过期时间。
  4. 如下图：
  5. 读取数据库配置的客户端各字段属性，在上面的方法的中配置
  6. 如下图在配置类中注入自定义的客户端，以此来达到各个客户端用户登录的过期时间分开定义。
  7. 当然有人会说也可以在tokenService中定义过期策略，这个方法可行但是是全局的无法针对客户端分开配置。
  8. 然而，配置项都正常配置了，实际测试却发现过期时间的实际效果与设置的始终不对，后来又发现不是完全对不上，是对上了一半。接下来就看看源代码里面发生了什么。

源码查看

  1. 网上的帖子基本上都围绕OAuth2AuthenticationManager#authenticate方法来解读，但是这个方法只解读了token本身的合法性和客户端，权限范围scope等。
  2. 在tokenServices.loadAuthentication(token)，此方法里的readAccessToken对token进行了解密和过期校验，此处的校验笔者推测是校验配置在全局（上面提到的）里的过期时间。理由：调试期间在另一个方法校验了过期，并且返回客户端了过期提示，OAuth2AuthenticationManager的方法都没有走。
  3. 由此可见校验基于客户端的过期策略，会在OAuth2AuthenticationManager#authenticate方法这之前校验。在时间校验通过后才会在这里详细的校验权限范围和token的签名等。

经过调试发现
在JwtReactiveAuthenticationManager#authenticate方法里进行了客户端token的解析校验。

由于是maven里的jar不能写注释，故此处大概写下流程：

  1. JwtReactiveAuthenticationManager#authenticate先是从authentication获取了加密的token，继而使用ReactiveJwtDecoder jwtDecoder去解析它.
  2. NimbusReactiveJwtDecoder#decode方法调用JWTParser.parse(token)解出明文成JWT。
  3. NimbusReactiveJwtDecoder#decode调用validateJwt方法验证解析出来的JWT
  4. 如上图validate校验JWT有四个实现类，这意味着有多个维度的校验，我们只看时间戳的校验（即过期时间的校验）
  5. 下图中有关键的一步minus(this.clockSkew)，此处的clockSkew字面翻译时钟偏移，这意味着springsecurity在校验过期时间的时候会在当前时间上减去这个时间偏移，默认是60秒，再和你设定的应该过期的时间点比较。计算后的时间节点如果在你设定的时间之后才会进入if，返回token失效。（例如，当前时间8：00，你设定一分钟过期，实际判定需要等到8：02才会返回token失效）。
springsecurityjwt

有关springsecurity+jwt+oauth2.0校验jwt的过期时间源码解读的更多相关文章

  1. ruby-on-rails - Ruby 检查日期时间是否为 iso8601 并保存 - 2

    我需要检查DateTime是否采用有效的ISO8601格式。喜欢:#iso8601?我检查了ruby​​是否有特定方法，但没有找到。目前我正在使用date.iso8601==date来检查这个。有什么好的方法吗？编辑解释我的环境，并改变问题的范围。因此，我的项目将使用jsapiFullCalendar，这就是我需要iso8601字符串格式的原因。我想知道更好或正确的方法是什么，以正确的格式将日期保存在数据库中，或者让ActiveRecord完成它们的工作并在我需要时间信息时对其进行操作。 最佳答案 我不太明白你的问题。我假设您想检查

  2. ruby-on-rails - 将 Ruby 中的日期/时间格式化为 YYYY-MM-DD HH :MM:SS - 2

    这个问题在这里已经有了答案:Railsformattingdate(4个答案)关闭4年前。我想格式化Time.Now函数以显示YYYY-MM-DDHH:MM:SS而不是:“2018-03-0909:47:19+0000”该函数需要放在时间中.现在功能。require‘roo’require‘roo-xls’require‘byebug’file_name=ARGV.first||“Template.xlsx”excel_file=Roo::Spreadsheet.open(“./#{file_name}“,extension::xlsx)xml=Nokogiri::XML::Build

  3. ruby - 查找字符串中的内容类型(数字、日期、时间、字符串等) - 2

    我正在尝试解析一个CSV文件并使用SQL命令自动为其创建一个表。CSV中的第一行给出了列标题。但我需要推断每个列的类型。Ruby中是否有任何函数可以找到每个字段中内容的类型。例如，CSV行:"12012","Test","1233.22","12:21:22","10/10/2009"应该产生像这样的类型['integer','string','float','time','date']谢谢! 最佳答案 require'time'defto_something(str)if(num=Integer(str)rescueFloat(s

  4. UE4 源码阅读：从引擎启动到Receive Begin Play - 2

    一、引擎主循环UE版本：4.27一、引擎主循环的位置：Launch.cpp:GuardedMain函数二、、GuardedMain函数执行逻辑：1、EnginePreInit：加载大多数模块int32ErrorLevel=EnginePreInit(CmdLine);PreInit模块加载顺序：模块加载过程：（1）注册模块中定义的UObject，同时为每个类构造一个类默认对象（CDO，记录类的默认状态，作为模板用于子类实例创建）（2）调用模块的StartUpModule方法2、FEngineLoop::Init()1、检查Engine的配置文件找出使用了哪一个GameEngine类（UGame

  5. ruby - rbenv 安装 ruby​​ 校验和不匹配 osx - 2

    我已经在mountainlion上成功安装了rbenv和ruby​​build。运行rbenvinstall1.9.3-p392结束于:校验和不匹配:ruby-1.9.3-p392.tar.gz(文件已损坏)预期f689a7b61379f83cbbed3c7077d83859，得到1cfc2ff433dbe80f8ff1a9dba2fd5636它正在下载的文件看起来没问题，如果我使用curl手动下载文件，我会得到同样不正确的校验和。有没有人遇到过这个？他们是如何解决的？ 最佳答案 tl:博士；使用浏览器从http://ftp.rub

  6. sql - 查询忽略时间戳日期的时间范围 - 2

    我正在尝试查询我的Rails数据库(Postgres)中的购买表，我想查询时间范围。例如，我想知道在所有日期的下午2点到3点之间进行了多少次购买。此表中有一个created_at列，但我不知道如何在不搜索特定日期的情况下完成此操作。我试过:Purchases.where("created_atBETWEEN?and?",Time.now-1.hour,Time.now)但这最终只会搜索今天与那些时间的日期。 最佳答案 您需要使用PostgreSQL'sdate_part/extractfunction从created_at中提取小时

  7. ruby - 在没有基准或时间的情况下用 Ruby 测量用户时间或系统时间 - 2

    因为我现在正在做一些时间测量，我想知道是否可以在不使用Benchmark类或命令行实用程序time的情况下测量用户时间或系统时间。使用Time类只显示挂钟时间，而不显示系统和用户时间，但是我正在寻找具有相同灵active的解决方案，例如time=TimeUtility.now#somecodeuser,system,real=TimeUtility.now-time原因是我有点不喜欢Benchmark，因为它不能只返回数字(编辑:我错了-它可以。请参阅下面的答案。)。当然，我可以解析输出，但感觉不对。*NIX系统的time实用程序也应该可以解决我的问题，但我想知道是否已经在Ruby中实

  8. ruby - 以毫秒为单位获取当前系统时间 - 2

    在Ruby中，以毫秒为单位获取自纪元(1970)以来的当前系统时间的正确方法是什么？我试过了Time.now.to_i，好像不是我想要的结果。我需要结果显示毫秒并且使用long类型，而不是float或double。 最佳答案 (Time.now.to_f*1000).to_iTime.now.to_f显示包含十进制数字的时间。要获得毫秒数，只需将时间乘以1000。 关于ruby-以毫秒为单位获取当前系统时间，我们在StackOverflow上找到一个类似的问题：

  9. ruby - RVM pkg 安装校验和错误 - 2

    root@li417-132:~#rvmpkginstallzlibFetchingzlib-1.2.7.tar.gzto/usr/local/rvm/archivesThereisnochecksumfor'http://prdownloads.sourceforge.net/libpng/zlib-1.2.7.tar.gz'or'zlib-1.2.7.tar.gz',it'snotpossibletovalidateit.Ifyouwishtocontinuewithunverifieddownloadadd'--verify-downloads1'afterthecommand.

  10. ruby-on-rails - Ruby on Rails - 需要在每周的特定时间将消息发送到电子邮件 - 2

    我想知道我应该如何着手这个项目。我需要每周向人们发送一次电子邮件。但是，这必须在每周的特定时间自动生成并发送。编码有多难？我需要知道是否有任何书籍可以提供帮助，或者你们中的任何人是否可以指导我。它必须使用ruby​​onrails进行编程。因此有一个网络服务和数据库集成。干杯 最佳答案 为什么这么复杂？您只需安排工作。您可以使用Delayed::Job例如。Delayed::Job让您可以使用run_at符号在特定时间安排作业，如下所示:Delayed::Job.enqueue(SendEmailJob.new(...),:run_

随机推荐