SpringSecurityOAuth2 如何自定义token信息

Spring Security OAuth2提供了默认的token生成方式，但有时我们需要自定义token的信息，例如添加一些自定义的字段，或修改过期时间等。下面是如何实现自定义token信息的攻略。

1. 自定义Token

我们可以通过实现TokenEnhancer接口来自定义token信息。例如，在JWT token中我们可以添加自定义的claims信息。

@Component
public class CustomTokenEnhancer implements TokenEnhancer {
    @Override
    public OAuth2AccessToken enhance(OAuth2AccessToken accessToken, OAuth2Authentication authentication) {
        ((DefaultOAuth2AccessToken) accessToken).setAdditionalInformation(Map.of("custom_field", "custom_value"));
        return accessToken;
    }
}

2. 配置token生成

在Spring Security OAuth2中，我们可以通过实现AuthorizationServerConfigurer接口来配置token的生成方式。例如，下面是使用JWT token方式的配置：

@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServer extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private UserDetailsService userDetailsService;

    @Autowired
    private CustomTokenEnhancer tokenEnhancer;

    @Autowired
    private JwtAccessTokenConverter jwtAccessTokenConverter;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("client")
                .secret("$2a$10$dfTVrVVAOPxUHBrBrQ08BOqd2v/UWLzN0doiFNqSEhDu865dPV4lS")
                .authorizedGrantTypes("password","refresh_token")
                .scopes("read")
                .accessTokenValiditySeconds(3600)
                .refreshTokenValiditySeconds(86400);
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.tokenStore(tokenStore())
                .accessTokenConverter(jwtAccessTokenConverter)
                .authenticationManager(authenticationManager)
                .userDetailsService(userDetailsService)
                .tokenEnhancer(tokenEnhancer);
    }

    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(jwtAccessTokenConverter);
    }

    @Bean
    public JwtAccessTokenConverter jwtAccessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey("secret");
        return converter;
    }
}

这样配置后，生成的token中就会包含我们自定义的字段（如custom_field）。

3. 使用自定义Token

当我们需要使用自定义的token时，只需在调用时指定自定义的token生成方式即可。例如，在使用password方式获取token时，可以加上如下配置：

@Configuration
public class OAuth2ResourceServer extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
                .authorizeRequests()
                .antMatchers("/auth/token").permitAll()
                .anyRequest().authenticated();
    }

    @Bean
    public OAuth2RestTemplate restTemplate(OAuth2ClientContext oauth2ClientContext,
                                           OAuth2ProtectedResourceDetails details) {
        OAuth2RestTemplate restTemplate = new OAuth2RestTemplate(details, oauth2ClientContext);
        restTemplate.setAccessTokenProvider(new CustomTokenProvider());
        return restTemplate;
    }

    private class CustomTokenProvider implements AccessTokenProvider {

        private final DefaultAccessTokenProvider defaultAccessTokenProvider = new DefaultAccessTokenProvider();

        @Override
        public OAuth2AccessToken obtainAccessToken(OAuth2ProtectedResourceDetails details,
                                                   AccessTokenRequest request) throws UserRedirectRequiredException,
                AccessTokenProviderException {

            OAuth2AccessToken token = defaultAccessTokenProvider.obtainAccessToken(details, request);

            OAuth2Authentication auth = new OAuth2Authentication(new DefaultOAuth2AccessToken(token), null);
            DefaultOAuth2AccessToken customToken = new DefaultOAuth2AccessToken(token);

            Map<String, Object> customInfo = new HashMap<>();
            customInfo.put("custom_field", "custom_value");
            customToken.setAdditionalInformation(customInfo);

            customToken.setExpiration(token.getExpiration());
            customToken.setRefreshToken(token.getRefreshToken());
            customToken.setTokenType(token.getTokenType());
            customToken.setScope(token.getScope());

            return customToken;
        }

        @Override
        public boolean supportsResource(OAuth2ProtectedResourceDetails resource) {
            return defaultAccessTokenProvider.supportsResource(resource);
        }

        @Override
        public boolean supportsRefresh(OAuth2ProtectedResourceDetails resource) {
            return defaultAccessTokenProvider.supportsRefresh(resource);
        }
    }
}

在这个示例中，我们使用了CustomTokenProvider来生成自定义的token信息。其中，我们在obtainAccessToken方法中，通过调用默认的token生成方式获取到token信息，并在原有的token信息上添加自定义的字段信息。

至此，我们已经实现了Spring Security OAuth2中自定义token信息的攻略。