ReLive27

为什么要测试你的架构？ 当项目变得更大，架构变得更加复杂。每个项目都有开发人员需要遵循的标准规则。新开发人员加入，他们可能会在不知情的情况下违反架构约束。如果每个人都在他们认...

ReLive27

Spring Security OAuth2 内省协议与 JWT 结合使用指南 概述 我们已经熟悉两种用于授权服务器和受保护资源之间传递信息的方法：JWT（JSON Web ...

ReLive27

Spring Security OAuth2 Opaque 令牌的简单使用指南 概述 JWT 是一种以广泛接受的 JSON 格式安全传输敏感信息的方法。包含的信息可能是关于用...

ReLive27

Spring Security OAuth 2.0授权服务器结合Redis实现获取accessToken速率限制 概述 在生产环境中，我们通常颁发给OAuth2客户端有效期较...

ReLive27

将Spring Security OAuth2授权服务JWK与Consul 配置中心结合使用 概述 在前文[https://www.jianshu.com/p/8464a62...

ReLive27

感谢您的评论，首先公共客户端存在refresh_token泄漏的风险，对于公共客户端是否支持refresh_token存在争议点。Spring 目前暂不支持公共客户端颁发refresh_token。
从代码层面来看，Spring对于OAuth Client PKCE流程支持源码如下：OAuth2AuthorizationRequestRedirectFilter->DefaultOAuth2AuthorizationRequestResolver#getBuilder(ClientRegistration clientRegistration),在此方法中明确定义clientAuthenticationMethod==none时授权请求将携带code_challenge和code_challenge_method。
而在整个流程请求token过程中，spring-authorization-server框架OAuth2AuthorizationCodeAuthenticationProvider#authenticate(Authentication authentication)方法中同样定义客户端authorizationGrantType包含refresh_token并且clientAuthenticationMethod!=none情况下颁发refresh_token。源码如下：
if (registeredClient.getAuthorizationGrantTypes().contains(AuthorizationGrantType.REFRESH_TOKEN) &&
// Do not issue refresh token to public client
!clientPrincipal.getClientAuthenticationMethod().equals(ClientAuthenticationMethod.NONE)) {
...
}

如果您想了解更多可以参考：https://github.com/spring-projects/spring-authorization-server/pull/335

Spring Security OAuth2 带有用于代码交换的证明密钥 (PKCE) 的授权码流

Spring Security OAuth2 带有用于代码交换的证明密钥 (PKCE) 的授权码流 概述 OAuth2依据是否能持有客户端密钥，将客户端分为两种类型：公共客户...

ReLive27

628 4 2

ReLive27

Spring Security OAuth2实现简单的密钥轮换及配置资源服务器JWK缓存 概述 在OAuth2协议中授权服务器或者OIDC中身份提供服务常使用私钥对JWT令牌...

ReLive27

Spring Security 持久化OAuth2客户端 在之前文章中[https://www.jianshu.com/p/bef42fd11af8]介绍过了客户端通过向授权...

ReLive27

将JWT与Spring Security OAuth2结合使用 概述 OAuth 2.0 是行业标准的授权协议。OAuth 2.0 专注于客户端开发人员的简单性，同时为 We...