JavaアプリケーションにOAUTH2とOpenID Connectを実装します

OAUTH2は承認に使用され、OpenID Connect（OIDC）は、OAUTH2に基づいてID認証を提供してユーザーIDを確認します。 2。スプリングブートとスプリングセキュリティを使用することは、JavaにOIDCを実装するための推奨される方法であり、Spring-Boot-Starter-Oauth2-Client依存関係を導入する必要があります。 3.自動メタデータ発見を有効にするために、Application.ymlのIDP（Googleなど）のクライアントID、クライアントセクレット、スコープ（Googleなど）の発行者URIを構成します。 4. @enablewebsecurityを介してSecurityConfigを構成し、OAUTH2LOGINを有効にし、デフォルトの成功ページを設定します。 5. @authenticationPrincipalを使用してOAUTH2USERオブジェクトを取得し、そのプロパティから名前、電子メール、画像などのユーザー情報を抽出します。 6.複数のプロバイダー（GoogleやGitHubなど）をサポートする場合は、構成に複数のクライアントを登録し、対応するログインリンクを提供します。 7。Springは、IDトークンの署名、発行者、視聴者、有効期間を自動的に検証します。生産環境はHTTPSを使用する必要があり、敏感なトークンは暗号化されて保存する必要があります。 8。ユーザー情報マッピングと永続性は、カスタムOAuth2Userserviceを介して処理できます。概要：Spring Boot Configuration Driversを使用すると、基礎となるプロトコルロジックを記述せずにOIDCの迅速かつ安全な統合を可能にし、信頼できるIDプロバイダーによるユーザー認証を管理します。

JavaアプリケーションでOAUTH2とOpenID Connect（OIDC）を実装すると、特にGoogle、GitHub、OktaやAuth0などのエンタープライズソリューションなどのIDプロバイダーと統合する場合、ユーザー認証と承認を安全に処理できます。これを効果的に機能させるための実用的なガイドです。

1. OAUTH2とOpenID Connectの違いを理解します

コードに潜る前に：

• OAUTH2は承認用です。これにより、アプリはユーザーに代わってリソースへのアクセスを要求できます。
• OpenID Connect（OIDC）はOAUTH2の上に構築され、認証を追加します。ユーザーが誰であるかを確認し、ID情報（電子メール、名前など）を返します。

要するに、ユーザーをログインして自分が誰であるかを知る必要がある場合は、 OIDCを使用します。

2.適切なJavaフレームワークを選択します

JavaでOIDCを実装する最も簡単な方法は、Spring BootでSpring Securityを使用することです。 OAUTH2ログインとOIDCのサポートが組み込まれています。

依存関係（メイベン）

 <依存関係>
    <GroupId> org.springframework.boot </groupId>
    <artifactid> spring-boot-starter-oauth2-client </artifactid>
</依存関係>
<依存関係>
    <GroupId> org.springframework.boot </groupId>
    <artifactid> spring-boot-starter-web </artifactid>
</依存関係>

注：アプリが他のサービスからのアクセストークンも受け入れていない限り、 starter-oauth2-resource-server必要ありません。

3.アプリケーションプロパティを構成します

application.ymlまたはapplication.propertiesでIDプロバイダー（IDP）を設定します。

例：GoogleをOIDCプロバイダーとして使用します

春：
  安全：
    OAuth2：
      クライアント：
        登録：
          グーグル：
            Client-ID：Your-Client-ID
            クライアントセクレット：クライアントセクレット
            範囲：OpenID、プロフィール、電子メール
            Redirect-uri： "{baseurl}/login/oauth2/code/{registrationId}"
        プロバイダー：
          グーグル：
            Issuer-uri：https：//accounts.google.com

• client-idおよびclient-secret ：IDPからこれらを取得します（たとえば、Google Cloud Console）。
• scope ： openid OIDCを有効にします。 profileとemailユーザー情報を取得します。
• issuer-uri ：Springはこれを使用して、OIDCメタデータ（JWK、承認エンドポイントなど）を自動表示します。

ヒント：OIDC（Auth0、Azure AD、Oktaなど）をサポートするプロバイダーを使用できます。発行者URIとクライアントの資格情報を調整するだけです。

4. Spring SecurityでOAUTH2ログインを有効にします

セキュリティ構成クラスを作成します。

 @構成
@enablewebsecurity
Public Class SecurityConfig {

    @bean
    Public SecurityFilterChain FilterChain（httpsecurity http）スロー例外{
        http
            .authorizehttprequests（authz-> authz
                .RequestMatchers（ "/"、 "/login **"、 "/error **"）。pimitall（）
                .anyrequest（）。authentipted（）
            ））
            .oauth2login（oauth2-> oauth2
                .defaultsuccessurl（ "/home"）
            ）;
        return http.build（）;
    }
}

これで、ユーザーがセキュリティで保護されたページにアクセスすると、Google（またはIDP）にリダイレクトされてログインします。

5。ログイン後にユーザー情報にアクセスします

認証されたら、 OAuth2Userからユーザーの詳細を取得できます。

サンプルコントローラー

@getMapping（ "/home"）
パブリックストリングホーム（モデルモデル、@authenticationprincipal oauth2userプリンシパル）{
    if（プリンシパル！= null）{
        Model.Addattribute（ "name"、spinital.getAttribute（ "name"））;
        Model.Addattribute（ "email"、principal.getattribute（ "email"））;
        Model.Addattribute（ "Picture"、spinital.getAttribute（ "picture"））;
    }
    「家」を返します。
}

属性（ name 、 emailなど）は、プロバイダーに応じて、IDトークンおよび/またはuserInfoエンドポイントからのものです。

6。複数のプロバイダーの処理

複数のOIDCプロバイダー（Google、Github、Microsoftなど）をサポートできます。

春：
  安全：
    OAuth2：
      クライアント：
        登録：
          グーグル：
            Client-ID：...
            クライアントの秘密：...
            範囲：OpenID、プロフィール、電子メール
          Github：
            Client-ID：...
            クライアントの秘密：...
            スコープ：ユーザー：電子メール
            authorization-grant-type：authorization_code
            client-authentication-method：client_secret_post

次に、ログインページで：

 <a href = "/oauth2/authorization/google"> Googleにサインイン</a>
<a href = "/oauth2/authorization/github"> github </a>でサインインします

Springはこれらのエンドポイントを自動的にセットアップします。

7。トークンの検証とセキュリティの考慮事項

• IDトークン検証：Spring Securityはissuer-uriを使用するときにJWT IDトークン（署名、発行者、視聴者、有効期限）を自動的に検証します。
• 生産にHTTPSを使用します- OIDCは安全な通信に依存しています。
• トークンをプレーンテキストに保管しないでください。トークンを更新する必要がある場合は、暗号化してください。

8。ユーザー処理のカスタマイズ（オプション）

OIDCのクレームをアプリのユーザーモデルにマッピングする必要がある場合は、 OAuth2UserServiceを定義します。

 @bean
public oauth2userservice <oauth2userrequest、oauth2user> customoauth2userservice（）{
    return userrequest-> {
        oauth2userservice <oauth2userrequest、oauth2user> delegate = new defaultoauth2userservice（）;
        oauth2user oauth2user = delegate.loduser（userrequest）;

        //カスタムロジックを追加：ロールをマップし、ユーザーをDBに保存します。
        新しいcustomoauth2user（oauth2user）を返します。
    };
}

次に、ログインフローに配線します。

 .oauth2login（oauth2-> oauth2
    .userInfoendpoint（userinfo-> userInfo
        .userservice（customoauth2userservice（））
    ））
））

まとめ

JavaでOAUTH2とOpenID Connectを実装する（特にSpring Bootを使用）は簡単です。

• Spring Securityのspring-boot-starter-oauth2-clientを使用します
• application.ymlを介してIDPを構成します
• セキュリティ構成でOAUTH2ログインを有効にします
• @AuthenticationPrincipal経由でユーザー情報を取得します
• オプションでユーザー処理をカスタマイズするか、複数のプロバイダーをサポートします

安全でスケーラブルで、パスワードの管理を妨げます。信頼できるIDプロバイダーが重い持ち上げを行わせます。

基本的に、Redirect URISをセットアップしてクライアント資格情報を取得すると、残りは構成駆動型であり、自分で低レベルのOIDCロジックを書く必要はありません。

以上がJavaアプリケーションにOAUTH2とOpenID Connectを実装しますの詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。