oauth2

微信开发之网站微信授权登录-JAVA版 引子 这是微信开发的第二篇博客，本来想第一篇从这篇开始的 这里衔接第一篇 微信公众号H5支付 ，但是很多开发者做微信开发仅仅是使用支付功能而已，这里切入主题想必很多开发者从事微信公众号开发，都有需求制定自己的第三方网站，为了增强用户体验感，降低用户的流失率，会在用户通过公众号点击第三方网站的时候，就进行授权登录，开发者就能获取到用户的一些个人信息，例如头像，openid，地址等，从而完善用户的个人信息。 一、前言 网站微信授权登录的准备工作： 官方接口文档 ， 微信服务号 （怎么注册我就不提了），准备工作做好了过后，梳理流程，切勿愣头青，先把流程梳理好，才好带入业务 官方文案： 网站应用微信登录是基于OAuth2.0协议标准构建的微信OAuth2.0授权登录系统。 在进行微信OAuth2.在进行微信OAuth2.0授权登录接入之前，在微信开放平台注册开发者帐号，并拥有一个已审核通过的网站应用，并获得相应的AppID和AppSecret，申请微信登录且通过审核后，可开始接入流程。 二、思路 这里是官方的授权流程图，根据流程图显示，首先是发起授权登录的请求，然后重定向微信，微信又会重新跳转到用户设置好的url上面，并且写到了code参数，通过code参数加上AppIdheAppSecret，换取到token，最后根据token拿到用户的信息

OAuth2.0是什么 OAuth的英文全称是Open Authorization，它是一种开放授权协议。OAuth目前共有2个版本，2007年12月的1.0版（之后有一个修正版1.0a）和2010年4月的2.0版，1.0版本存在严重安全漏洞，而2.0版解决了该问题。 OAuth简单说就是一种授权的协议，只要授权方和被授权方遵守这个协议去写代码提供服务，那双方就是实现了OAuth模式。 OAuth2.0实现第三方登录的流程 例如你想登录豆瓣去看看电影评论，但你丫的从来没注册过豆瓣账号，又不想新注册一个再使用豆瓣，怎么办呢？不用担心，豆瓣已经为你这种懒人做了准备，用你的qq号可以授权给豆瓣进行登录。流程如下： 第一步：在豆瓣官网点击用qq登录 当你点击用qq登录的小图标时，实际上是向豆瓣的服务器发起了一个 http://www.douban.com/leadToAuthorize 的请求，豆瓣服务器会响应一个重定向地址，指向qq授权登录。 浏览器接到重定向地址 http://www.qq.com/authorize?callback=www.douban.com/callback ，再次访问。并注意到这次访问带了一个参数是callback，以便qq那边授权成功再次让浏览器发起这个callback请求。不然qq怎么知道你让我授权后要返回那个页面啊，每天让我授权的像豆瓣这样的网站这么多。

Spring Security OAuth2 主要两部分功能：1、生成token，2、验证token，最大概的流程进行了一次梳理 1、Server端生成token （post /oauth/token） AuthorizationServerSecurityConfigurer 在配置阶段 如果允许form表单提交则会经过ClientCredentialsTokenEndpointFilter， 剩下的流程可以总结为 生成token、存储token。 生成token：按类型生成token，类型与oauth2四种类型（密码、授权码、客户端、简化）模式相对 存储token: 支持 内存、redis、数据库、等多种方式 2、Resource 端验证token (访问受限接口） ResourceSecurityConfigurer在配置阶段，对Resource进行配置， OAuth2核心过滤器 OAuth2AuthenticationProcessingFilter， 如果请求中存在token 则进行验证，如果不存在则不验证（但是Spring Security会对接口权限进行验证)。 存在token流程： 根据 配置的 userInfoEndpointUrl 到 server获取token的授权信息 OAuthAuthentication。 根据返回结果判断token是否有效（

1、OAuth2.0简介 　　 OAuth （开放授权）是一个开放标准，允许用户让第三方应用访问该用户在某一网站上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用。 　　允许用户 提供一个令牌 ， 而不是用户名和密码来访问他们存放在特定服务提供者的数据 。每一个令牌授权一个特定的网站（例如，视频编辑网站)在特定的时段（例如，接下来的2小时内）内访问特定的资源（例如仅仅是某一相册中的视频）。这样，OAuth允许用户授权第三方网站访问他们存储在另外的服务提供者上的信息，而不需要分享他们的访问许可或他们数据的所有内容。 　　我们这里主要模拟在微信公众号中使用OAuth2.0进行授权，获取用户的基本信息的过程。详细的开发文档可查看微信的官方文档。　　 微信公众平台开发者文档： http://mp.weixin.qq.com/wiki/14/89b871b5466b19b3efa4ada8e577d45e.html 2、获取测试公众账号及其相关配置 1）、公众测试账号获取 　　访问上面的连接，选择“接口测试号申请”获得直接打开 http://mp.weixin.qq.com/debug/cgi-bin/sandboxinfo?action=showinfo&t=sandbox/index 通过微信客户端扫码登录即可登录。 　

这里介绍H5微信授权登录，采用了微信公众号授权原理，是oauth2的登录授权方式，简单的来讲，就是用户通过手机微信确认登录之后，微信方会返回一个授权码code给回第三方（接入方），这个授权码code一次有效期，且有效时间比较短；第三方通过此code去调用微信接口获取token，token的有效期也比较短；第三步通过token再去调用微信开发平台接口，获取微信个人用户信息（昵称、头像地址、openid、unionid、地区……）。 申请测试账号： https://mp.weixin.qq.com/debug/cgi-bin/sandbox?t=sandbox/login 在微信公众号请求用户网页授权之前，开发者需要先到公众平台官网中的“开发 - 接口权限 - 网页服务 - 网页帐号 - 网页授权获取用户基本信息”的配置选项中，修改授权回调域名。请注意，这里填写的是域名（是一个字符串），而不是URL，因此请勿加 http:// 等协议头； 前提先关注微信测试公众号，然后即可以在微信开发者工具的公众号网页调试模式，地址栏进行输入授权登录； 参考链接(请在微信客户端中打开此链接体验): scope为snsapi_base https://open.weixin.qq.com/connect/oauth2/authorize?appid=wx520c15f417810387&redirect

3 月，跳不动了？>>> 简介 JWT是一种无状态的方式，用户的资料都保存在token里可以直接解析token拿到用户资料，无状态有两个问题1.续租，2.退出 这两个问题现在都没有什么好的解决办法，如果是普通的web项目建议不要使用JWT 使用JWT替换默认的令牌 （默认令牌使用UUID生成）只需要指定TokenStore为JwtTokenStore即可。 修改 TokenStoreConfig 配置类： package com.spring.security; import com.spring.security.properties.SecurityProperties; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.autoconfigure.condition.ConditionalOnProperty; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.data.redis.connection

从接触公众号到现在，通过不断积累学习，对如何调用微信提供接口有了一定的见解。当然在开发过程中遇到很多问题，现在把部分模块功能在这备案一下，做个总结也希望能给其他人帮助 工欲善其事，必先利其器，先看看开发公众号需要准备或了解什么 web开发工具：官方提供的开发工具，使用自己的微信号来调试微信网页授权、调试、检验页面的 JS-SDK 相关功能与权限，模拟大部分 SDK 的输入和输出。下载地址： web开发工具下载 开发文档： https://mp.weixin.qq.com/wiki 登录微信测试公众号，获取公众号的appID、appsecret，登录地址： http://mp.weixin.qq.com/debug/cgi-bin/sandbox?t=sandbox/login （一般测试开发阶段，都不拿正式公众号测试，因为存在风险并且你调试时不用担心影响到正式公众号的正常使用，而且有些接口在正式公众号上比较严格，而在测试公众号上可以放开，如模板信息） 下面进入正题，实现微信网页授权，获取微信信息，主要用于以微信帐号作为用户登录，如果你只是需要绑定微信，就可以不用授权，直接请求获取微信OpenId（对当前公众号唯一），进行用户绑定（在下面代码时是写明如何实现），该功能可在开发文档：微信网页开发-》微信网页授权里查看详细信息，下面正式开始。 用户要求在微信端登录一次后,以后不需要再登录