OAuth2客户端模式实战：如何安全高效地获取Token

1次阅读

共计 3355 个字符，预计需要花费 9 分钟才能阅读完成。

OAuth2 客户端模式（Client Credentials）是专为服务器间通信设计的授权模式。与需要用户参与的授权码模式不同，它直接使用客户端 ID 和密钥换取访问令牌，适用于微服务间 API 调用等无用户交互场景。

核心流程 ：客户端凭据→认证服务器→访问令牌
典型场景 ：
后台服务调用第三方数据分析 API
微服务 A 调用微服务 B 的内部接口
定时任务访问受保护资源

当多个服务实例同时发现 Token 过期时，可能引发认证服务器瞬时高负载。解决方案：

// 基于 Redis 的分布式锁实现
public String getTokenWithLock() {String token = redisTemplate.opsForValue().get("service_token");
    if(token == null || isTokenExpired(token)) {Lock lock = redisLockRegistry.obtain("token_lock");
        try {if(lock.tryLock(3, TimeUnit.SECONDS)) {
                // 双重检查
                token = refreshToken();
                redisTemplate.opsForValue().set("service_token", token, 3500, TimeUnit.SECONDS);
            }
        } finally {lock.unlock();
        }
    }
    return token;
}

避免在代码或配置文件中硬编码客户端密钥：

开发环境：使用 Vault 或 AWS Secrets Manager
K8s 环境：通过 Secret 对象挂载
传统部署：采用 Jasypt 等工具加密配置

security:
  oauth2:
    client:
      registration:
        my-client:
          provider: auth-server
          client-id: ${CLIENT_ID}
          client-secret: ${CLIENT_SECRET}
          authorization-grant-type: client_credentials
          scope: api.read
      provider:
        auth-server:
          token-uri: https://auth.example.com/oauth/token

@Bean
public OAuth2AuthorizedClientManager authorizedClientManager(
        ClientRegistrationRepository clients,
        OAuth2AuthorizedClientRepository authClients) {

    OAuth2AuthorizedClientProvider provider = 
        OAuth2AuthorizedClientProviderBuilder.builder()
            .clientCredentials()
            .refreshToken()
            .build();

    DefaultOAuth2AuthorizedClientManager manager = 
        new DefaultOAuth2AuthorizedClientManager(clients, authClients);

    manager.setAuthorizedClientProvider(provider);
    manager.setContextAttributesMapper(context -> {Map<String, Object> attrs = new HashMap<>();
        attrs.put(OAuth2AuthorizationContext.REQUEST_SCOPE_ATTRIBUTE_NAME, 
                  Collections.singleton("api.read"));
        return attrs;
    });

    return manager;
}

@Configuration
public class FeignConfig {

    @Bean
    public Client feignClient() {
        return new Client.Default(new PoolingHttpClientConnectionManager(),
            new DefaultHttpRequestRetryHandler(3, true)
        );
    }

    @Bean
    public RequestInterceptor oauth2Interceptor(OAuth2AuthorizedClientManager manager) {
        return request -> {
            OAuth2AuthorizedClient client = manager.authorize(OAuth2AuthorizeRequest.withClientRegistrationId("my-client")
                    .principal("internal-service")
                    .build());
            request.header("Authorization", 
                "Bearer" + client.getAccessToken().getTokenValue());
        };
    }
}

// Token 自动刷新线程
@Scheduled(fixedRate = 300000) // 5 分钟检查一次
public void tokenRefreshTask() {String currentToken = tokenCache.getIfPresent("current");
    if(currentToken != null && 
       getTokenExpiry(currentToken) < System.currentTimeMillis() + 60000) {refreshTokenAsync();
    }
}

强制 HTTPS（包括认证服务器和资源服务器）
启用 HTTP 严格传输安全（HSTS）
禁用 TLS 1.0/1.1，推荐 TLS 1.3

// 证书固定示例（OkHttp）OkHttpClient client = new OkHttpClient.Builder()
    .certificatePinner(new CertificatePinner.Builder()
        .add("auth.example.com", "sha256/AAAAAAAA...")
        .build())
    .build();

当认证服务器与业务服务器存在时间不同步时：

// 在 JWT 验证时增加时间容差
JwtDecoder decoder = NimbusJwtDecoder.withJwkSetUri(jwkSetUri)
    .jwtProcessorCustomizer(processor -> {processor.setJWTClaimsSetVerifier((claims, context) -> {
            // 允许 60 秒时钟偏移
            new DefaultJWTClaimsVerifier().verify(claims, context, 60);
        });
    })
    .build();

当认证服务不可用时：

public class FallbackTokenService {@CircuitBreaker(name = "tokenService", fallbackMethod = "getCachedToken")
    public String getFreshToken() {// 正常获取 Token 逻辑}

    public String getCachedToken(Exception ex) {
        // 返回最近可用的令牌（即使可能过期）// 同时触发告警通知
    }
}

在实际业务中，Token 刷新策略需要根据具体场景设计：