iailab-plat.git

dengzedong

2024-10-14 558ffc4bcaf7aa5c683e7c9ce01e971feb9e4d95

提交 \| 用户 \| 时间
e7c126	1	package com.iailab.module.system.controller.admin.oauth2;
H	2
	3	import cn.hutool.core.lang.Assert;
	4	import cn.hutool.core.util.ArrayUtil;
	5	import cn.hutool.core.util.ObjectUtil;
	6	import cn.hutool.core.util.StrUtil;
	7	import com.iailab.framework.common.enums.UserTypeEnum;
	8	import com.iailab.framework.common.pojo.CommonResult;
	9	import com.iailab.framework.common.util.http.HttpUtils;
	10	import com.iailab.framework.common.util.json.JsonUtils;
	11	import com.iailab.module.system.controller.admin.oauth2.vo.open.OAuth2OpenAccessTokenRespVO;
	12	import com.iailab.module.system.controller.admin.oauth2.vo.open.OAuth2OpenAuthorizeInfoRespVO;
	13	import com.iailab.module.system.controller.admin.oauth2.vo.open.OAuth2OpenCheckTokenRespVO;
818a01	14	import com.iailab.module.system.controller.admin.oauth2.vo.open.OAuth2OpenLoginReqVO;
e7c126	15	import com.iailab.module.system.convert.oauth2.OAuth2OpenConvert;
H	16	import com.iailab.module.system.dal.dataobject.oauth2.OAuth2AccessTokenDO;
	17	import com.iailab.module.system.dal.dataobject.oauth2.OAuth2ApproveDO;
	18	import com.iailab.module.system.dal.dataobject.oauth2.OAuth2ClientDO;
	19	import com.iailab.module.system.enums.oauth2.OAuth2GrantTypeEnum;
	20	import com.iailab.module.system.service.oauth2.OAuth2ApproveService;
	21	import com.iailab.module.system.service.oauth2.OAuth2ClientService;
	22	import com.iailab.module.system.service.oauth2.OAuth2GrantService;
	23	import com.iailab.module.system.service.oauth2.OAuth2TokenService;
	24	import com.iailab.module.system.util.oauth2.OAuth2Utils;
	25	import io.swagger.v3.oas.annotations.Operation;
	26	import io.swagger.v3.oas.annotations.Parameter;
	27	import io.swagger.v3.oas.annotations.Parameters;
	28	import io.swagger.v3.oas.annotations.tags.Tag;
	29	import lombok.extern.slf4j.Slf4j;
	30	import org.springframework.validation.annotation.Validated;
	31	import org.springframework.web.bind.annotation.*;
	32
	33	import javax.annotation.Resource;
	34	import javax.annotation.security.PermitAll;
	35	import javax.servlet.http.HttpServletRequest;
	36	import java.util.Collections;
	37	import java.util.List;
	38	import java.util.Map;
	39
	40	import static com.iailab.framework.common.exception.enums.GlobalErrorCodeConstants.BAD_REQUEST;
	41	import static com.iailab.framework.common.exception.util.ServiceExceptionUtil.exception0;
	42	import static com.iailab.framework.common.pojo.CommonResult.success;
	43	import static com.iailab.framework.common.util.collection.CollectionUtils.convertList;
	44	import static com.iailab.framework.security.core.util.SecurityFrameworkUtils.getLoginUserId;
	45
	46	/**
	47	* 提供给外部应用调用为主
	48	*
	49	* 一般来说，管理后台的 /system-api/* 是不直接提供给外部应用使用，主要是外部应用能够访问的数据与接口是有限的，而管理后台的 RBAC 无法很好的控制。
	50	* 参考大量的开放平台，都是独立的一套 OpenAPI，对应到【本系统】就是在 Controller 下新建 open 包，实现 /open-api/* 接口，然后通过 scope 进行控制。
	51	* 另外，一个公司如果有多个管理后台，它们 client_id 产生的 access token 相互之间是无法互通的，即无法访问它们系统的 API 接口，直到两个 client_id 产生信任授权。
	52	*
	53	* 考虑到【本系统】暂时不想做的过于复杂，默认只有获取到 access token 之后，可以访问【本系统】管理后台的 /system-api/* 所有接口，除非手动添加 scope 控制。
	54	* scope 的使用示例，可见 {@link OAuth2UserController} 类
	55	*
	56	* @author iailab
	57	*/
	58	@Tag(name = "管理后台 - OAuth2.0 授权")
	59	@RestController
	60	@RequestMapping("/system/oauth2")
	61	@Validated
	62	@Slf4j
	63	public class OAuth2OpenController {
	64
	65	@Resource
	66	private OAuth2GrantService oauth2GrantService;
	67	@Resource
	68	private OAuth2ClientService oauth2ClientService;
	69	@Resource
	70	private OAuth2ApproveService oauth2ApproveService;
	71	@Resource
	72	private OAuth2TokenService oauth2TokenService;
	73
	74	/**
	75	* 对应 Spring Security OAuth 的 TokenEndpoint 类的 postAccessToken 方法
	76	*
	77	* 授权码 authorization_code 模式时：code + redirectUri + state 参数
	78	* 密码 password 模式时：username + password + scope 参数
	79	* 刷新 refresh_token 模式时：refreshToken 参数
	80	* 客户端 client_credentials 模式：scope 参数
	81	* 简化 implicit 模式时：不支持
	82	*
	83	* 注意，默认需要传递 client_id + client_secret 参数
	84	*/
	85	@PostMapping("/token")
	86	@PermitAll
	87	@Operation(summary = "获得访问令牌", description = "适合 code 授权码模式，或者 implicit 简化模式；在 sso.vue 单点登录界面被【获取】调用")
	88	public CommonResult<OAuth2OpenAccessTokenRespVO> postAccessToken(HttpServletRequest request,
818a01	89	@RequestBody OAuth2OpenLoginReqVO openLoginReqVO) {
H	90	String code = openLoginReqVO.getCode();
	91	String scope = openLoginReqVO.getScope();
	92	String grantType = openLoginReqVO.getGrantType();
	93	String redirectUri = openLoginReqVO.getRedirectUri();
	94	String state = openLoginReqVO.getState();
	95	String username = openLoginReqVO.getUsername();
	96	String password = openLoginReqVO.getPassword();
	97	String refreshToken = openLoginReqVO.getRefreshToken();
e7c126	98	List<String> scopes = OAuth2Utils.buildScopes(scope);
H	99	// 1.1 校验授权类型
d9f9ba	100	OAuth2GrantTypeEnum grantTypeEnum = OAuth2GrantTypeEnum.getByGrantType(grantType);
e7c126	101	if (grantTypeEnum == null) {
H	102	throw exception0(BAD_REQUEST.getCode(), StrUtil.format("未知授权类型({})", grantType));
	103	}
	104	if (grantTypeEnum == OAuth2GrantTypeEnum.IMPLICIT) {
	105	throw exception0(BAD_REQUEST.getCode(), "Token 接口不支持 implicit 授权模式");
	106	}
	107
	108	// 1.2 校验客户端
	109	String[] clientIdAndSecret = obtainBasicAuthorization(request);
	110	OAuth2ClientDO client = oauth2ClientService.validOAuthClientFromCache(clientIdAndSecret[0], clientIdAndSecret[1],
	111	grantType, scopes, redirectUri);
	112
	113	// 2. 根据授权模式，获取访问令牌
	114	OAuth2AccessTokenDO accessTokenDO;
	115	switch (grantTypeEnum) {
	116	case AUTHORIZATION_CODE:
	117	accessTokenDO = oauth2GrantService.grantAuthorizationCodeForAccessToken(client.getClientId(), code, redirectUri, state);
	118	break;
	119	case PASSWORD:
	120	accessTokenDO = oauth2GrantService.grantPassword(username, password, client.getClientId(), scopes);
	121	break;
	122	case CLIENT_CREDENTIALS:
	123	accessTokenDO = oauth2GrantService.grantClientCredentials(client.getClientId(), scopes);
	124	break;
	125	case REFRESH_TOKEN:
	126	accessTokenDO = oauth2GrantService.grantRefreshToken(refreshToken, client.getClientId());
	127	break;
	128	default:
	129	throw new IllegalArgumentException("未知授权类型：" + grantType);
	130	}
	131	Assert.notNull(accessTokenDO, "访问令牌不能为空"); // 防御性检查
	132	return success(OAuth2OpenConvert.INSTANCE.convert(accessTokenDO));
	133	}
	134
	135	@DeleteMapping("/token")
	136	@PermitAll
	137	@Operation(summary = "删除访问令牌")
	138	@Parameter(name = "token", required = true, description = "访问令牌", example = "biu")
	139	public CommonResult<Boolean> revokeToken(HttpServletRequest request,
	140	@RequestParam("token") String token) {
	141	// 校验客户端
	142	String[] clientIdAndSecret = obtainBasicAuthorization(request);
	143	OAuth2ClientDO client = oauth2ClientService.validOAuthClientFromCache(clientIdAndSecret[0], clientIdAndSecret[1],
	144	null, null, null);
	145
	146	// 删除访问令牌
	147	return success(oauth2GrantService.revokeToken(client.getClientId(), token));
	148	}
	149
	150	/**
	151	* 对应 Spring Security OAuth 的 CheckTokenEndpoint 类的 checkToken 方法
	152	*/
	153	@PostMapping("/check-token")
	154	@PermitAll
	155	@Operation(summary = "校验访问令牌")
	156	@Parameter(name = "token", required = true, description = "访问令牌", example = "biu")
	157	public CommonResult<OAuth2OpenCheckTokenRespVO> checkToken(HttpServletRequest request,
	158	@RequestParam("token") String token) {
	159	// 校验客户端
	160	String[] clientIdAndSecret = obtainBasicAuthorization(request);
	161	oauth2ClientService.validOAuthClientFromCache(clientIdAndSecret[0], clientIdAndSecret[1],
	162	null, null, null);
	163
	164	// 校验令牌
	165	OAuth2AccessTokenDO accessTokenDO = oauth2TokenService.checkAccessToken(token);
	166	Assert.notNull(accessTokenDO, "访问令牌不能为空"); // 防御性检查
	167	return success(OAuth2OpenConvert.INSTANCE.convert2(accessTokenDO));
	168	}
	169
	170	/**
	171	* 对应 Spring Security OAuth 的 AuthorizationEndpoint 类的 authorize 方法
	172	*/
	173	@GetMapping("/authorize")
	174	@Operation(summary = "获得授权信息", description = "适合 code 授权码模式，或者 implicit 简化模式；在 sso.vue 单点登录界面被【获取】调用")
	175	@Parameter(name = "clientId", required = true, description = "客户端编号", example = "tudou")
	176	public CommonResult<OAuth2OpenAuthorizeInfoRespVO> authorize(@RequestParam("clientId") String clientId) {
	177	// 0. 校验用户已经登录。通过 Spring Security 实现
	178
	179	// 1. 获得 Client 客户端的信息
	180	OAuth2ClientDO client = oauth2ClientService.validOAuthClientFromCache(clientId);
	181	// 2. 获得用户已经授权的信息
	182	List<OAuth2ApproveDO> approves = oauth2ApproveService.getApproveList(getLoginUserId(), getUserType(), clientId);
	183	// 拼接返回
	184	return success(OAuth2OpenConvert.INSTANCE.convert(client, approves));
	185	}
	186
	187	/**
	188	* 对应 Spring Security OAuth 的 AuthorizationEndpoint 类的 approveOrDeny 方法
	189	*
	190	* 场景一：【自动授权 autoApprove = true】
	191	* 刚进入 sso.vue 界面，调用该接口，用户历史已经给该应用做过对应的授权，或者 OAuth2Client 支持该 scope 的自动授权
	192	* 场景二：【手动授权 autoApprove = false】
	193	* 在 sso.vue 界面，用户选择好 scope 授权范围，调用该接口，进行授权。此时，approved 为 true 或者 false
	194	*
	195	* 因为前后端分离，Axios 无法很好的处理 302 重定向，所以和 Spring Security OAuth 略有不同，返回结果是重定向的 URL，剩余交给前端处理
	196	*/
	197	@PostMapping("/authorize")
	198	@Operation(summary = "申请授权", description = "适合 code 授权码模式，或者 implicit 简化模式；在 sso.vue 单点登录界面被【提交】调用")
	199	@Parameters({
	200	@Parameter(name = "response_type", required = true, description = "响应类型", example = "code"),
	201	@Parameter(name = "client_id", required = true, description = "客户端编号", example = "tudou"),
	202	@Parameter(name = "scope", description = "授权范围", example = "userinfo.read"), // 使用 Map<String, Boolean> 格式，Spring MVC 暂时不支持这么接收参数
	203	@Parameter(name = "redirect_uri", required = true, description = "重定向 URI", example = "https://www.baidu.com"),
	204	@Parameter(name = "auto_approve", required = true, description = "用户是否接受", example = "true"),
	205	@Parameter(name = "state", example = "1")
	206	})
	207	public CommonResult<String> approveOrDeny(@RequestParam("response_type") String responseType,
	208	@RequestParam("client_id") String clientId,
	209	@RequestParam(value = "scope", required = false) String scope,
	210	@RequestParam("redirect_uri") String redirectUri,
	211	@RequestParam(value = "auto_approve") Boolean autoApprove,
	212	@RequestParam(value = "state", required = false) String state) {
	213	@SuppressWarnings("unchecked")
	214	Map<String, Boolean> scopes = JsonUtils.parseObject(scope, Map.class);
	215	scopes = ObjectUtil.defaultIfNull(scopes, Collections.emptyMap());
	216	// 0. 校验用户已经登录。通过 Spring Security 实现
	217
	218	// 1.1 校验 responseType 是否满足 code 或者 token 值
	219	OAuth2GrantTypeEnum grantTypeEnum = getGrantTypeEnum(responseType);
	220	// 1.2 校验 redirectUri 重定向域名是否合法 + 校验 scope 是否在 Client 授权范围内
	221	OAuth2ClientDO client = oauth2ClientService.validOAuthClientFromCache(clientId, null,
	222	grantTypeEnum.getGrantType(), scopes.keySet(), redirectUri);
	223
	224	// 2.1 假设 approved 为 null，说明是场景一
	225	if (Boolean.TRUE.equals(autoApprove)) {
	226	// 如果无法自动授权通过，则返回空 url，前端不进行跳转
	227	if (!oauth2ApproveService.checkForPreApproval(getLoginUserId(), getUserType(), clientId, scopes.keySet())) {
	228	return success(null);
	229	}
	230	} else { // 2.2 假设 approved 非 null，说明是场景二
	231	// 如果计算后不通过，则跳转一个错误链接
	232	if (!oauth2ApproveService.updateAfterApproval(getLoginUserId(), getUserType(), clientId, scopes)) {
	233	return success(OAuth2Utils.buildUnsuccessfulRedirect(redirectUri, responseType, state,
	234	"access_denied", "User denied access"));
	235	}
	236	}
	237
	238	// 3.1 如果是 code 授权码模式，则发放 code 授权码，并重定向
	239	List<String> approveScopes = convertList(scopes.entrySet(), Map.Entry::getKey, Map.Entry::getValue);
	240	if (grantTypeEnum == OAuth2GrantTypeEnum.AUTHORIZATION_CODE) {
	241	String authorizationCodeRedirect = getAuthorizationCodeRedirect(getLoginUserId(), client, approveScopes, redirectUri, state);
	242	return success(authorizationCodeRedirect);
	243	}
	244	// 3.2 如果是 token 则是 implicit 简化模式，则发送 accessToken 访问令牌，并重定向
	245	return success(getImplicitGrantRedirect(getLoginUserId(), client, approveScopes, redirectUri, state));
	246	}
	247
	248	private static OAuth2GrantTypeEnum getGrantTypeEnum(String responseType) {
	249	if (StrUtil.equals(responseType, "code")) {
	250	return OAuth2GrantTypeEnum.AUTHORIZATION_CODE;
	251	}
	252	if (StrUtil.equalsAny(responseType, "token")) {
	253	return OAuth2GrantTypeEnum.IMPLICIT;
	254	}
	255	throw exception0(BAD_REQUEST.getCode(), "response_type 参数值只允许 code 和 token");
	256	}
	257
	258	private String getImplicitGrantRedirect(Long userId, OAuth2ClientDO client,
	259	List<String> scopes, String redirectUri, String state) {
	260	// 1. 创建 access token 访问令牌
	261	OAuth2AccessTokenDO accessTokenDO = oauth2GrantService.grantImplicit(userId, getUserType(), client.getClientId(), scopes);
	262	Assert.notNull(accessTokenDO, "访问令牌不能为空"); // 防御性检查
	263	// 2. 拼接重定向的 URL
	264	// noinspection unchecked
	265	return OAuth2Utils.buildImplicitRedirectUri(redirectUri, accessTokenDO.getAccessToken(), state, accessTokenDO.getExpiresTime(),
	266	scopes, JsonUtils.parseObject(client.getAdditionalInformation(), Map.class));
	267	}
	268
	269	private String getAuthorizationCodeRedirect(Long userId, OAuth2ClientDO client,
	270	List<String> scopes, String redirectUri, String state) {
	271	// 1. 创建 code 授权码
	272	String authorizationCode = oauth2GrantService.grantAuthorizationCodeForCode(userId, getUserType(), client.getClientId(), scopes,
	273	redirectUri, state);
	274	// 2. 拼接重定向的 URL
	275	return OAuth2Utils.buildAuthorizationCodeRedirectUri(redirectUri, authorizationCode, state);
	276	}
	277
	278	private Integer getUserType() {
	279	return UserTypeEnum.ADMIN.getValue();
	280	}
	281
	282	private String[] obtainBasicAuthorization(HttpServletRequest request) {
	283	String[] clientIdAndSecret = HttpUtils.obtainBasicAuthorization(request);
	284	if (ArrayUtil.isEmpty(clientIdAndSecret) \|\| clientIdAndSecret.length != 2) {
	285	throw exception0(BAD_REQUEST.getCode(), "client_id 或 client_secret 未正确传递");
	286	}
	287	return clientIdAndSecret;
	288	}
	289
	290	}