Spring Security 实战干货：OAuth2授权回调的核心认证流程

程序猿DD

The following article is from 码农小胖哥 Author 码农小胖哥

码农小胖哥

服务广大软件开发者。个人博客：https://felord.cn

1. 前言

我们在上一篇 Spring Security 实战干货：OAuth2 授权回调的处理机制对 OAuth2 服务端调用客户端回调的流程进行了图解，今天我们来深入了解 OAuth2 在回调中进行认证细节。

2. AuthenticationManager

当 Spring Security 拦截到回调接口后会封装一个OAuth2LoginAuthenticationToken交给AuthenticationManager进行认证。在之前 Spring Security 实战干货：理解 AuthenticationManager 一文中我们正好对AuthenticationManager的机制有详细的讲解，所以要快速理解本文应该去看看这一篇。

其中登录认证凭据封装为UsernamePasswordAuthenticationToken 然后根据 Token 的类型找到对应的AuthenticationProvider进行认证。

3. OAuth2 对应的 AuthenticationProvider

那么 OAuth2 登录有异曲同工之妙，我们需要找到OAuth2LoginAuthenticationToken对应的AuthenticationProvider。这里找到了两个：

OAuth2LoginAuthenticationProvider
OidcAuthorizationCodeAuthenticationProvider

这两个各自对应的场景是什么呢，OAuth2LoginAuthenticationToken中有以下片段：

if (loginAuthenticationToken.getAuthorizationExchange()
   .getAuthorizationRequest().getScopes().contains("openid")) {
   // This is an OpenID Connect Authentication Request so return null
   // and let OidcAuthorizationCodeAuthenticationProvider handle it instead
   return null;
}

意思是说scopes中如果包含了openid就直接返回null，不会被OAuth2LoginAuthenticationToken处理，而OidcAuthorizationCodeAuthenticationProvider中正好相反。根据以往文章的脉络OAuth2LoginAuthenticationProvider就是我们需要的。