技术栈选择

Spring Security是基于Spring的企业应用系统提供声明式的安全访问控制解决方案的安全框架。在Web请求级别和方法调用级别处理身份认证和授权充分利用了Spring IOC，DI（控制反转Inversion of Control ,DI:Dependency Injection 依赖注入）和AOP（面向切面编程）功能，并且提供了非常丰富的安全认证接入与安全拦截的功能与接口, 特别是OAuth2.0的认证模式，可以与Spring Gateway无缝对接，它是用来解决JEE 特别是Spring Boot/Spring Cloud的应用安全管理的利器，是企业级的安全级的重要认证管理框架。

平台采用它主要用来解决平台的以问题：

身份认证（你是谁）
应用功能授权（你能干什么）
攻击防护（防止伪造身份）

其核心就是一组过滤器链，由平台的网关自动加载，不同的Filter实现不同的功能拦截功能管理，如 Basic Authentication Filter 用来认证用户的身份。

而平台的身份认证采用的是基于Spring Security 中OAuth2.0的认证实现。

OAuth 2.0 认证的四种模式

平台采用的是OAuth 2.0的认证体系，需要了解一下其认证的原理。

整体认证流程

流程说明：

用户打开客户端，客户端要求向资源所有者（即用户）给予授权；
用户同意授权；
客户端得知用户同意授权后，向授权服务器获取授权；
授权服务器给予客户端授权，并将授权码（Access Token）即为令牌下发给客户端；
客户端携带授权码去请求资源服务器；
资源服务器将受限的资源开放给客户端。大多数情况下，认证服务器和资源服务者在一台机器上，但是逻辑上属于两个概念，很多系统将其作为单独的微服务和其他资源服务区分开来。

OAuth2协议规定的4种授权类型

授权许可是表示客户用来获取访问令牌的资源所有者授权的凭证。此规范协议规定了4种授权类型：

authorization code（授权码模式）
implicit（简化模式）
resource owner password credentials（密码模式）
client credentials（客户端模式）

#授权码模式

实现流程

授权码模式流程说明

用户访问客户端，客户端通过用户代理向认证服务器请求授权码；
用户同意授权；
认证服务器通过用户代理返回授权码给客户端；
客户端携带授权码向认证服务器请求访问令牌（AccessToken）；
认证服务器返回访问令牌；
客户端携带访问令牌向资源服务器请求资源；
资源服务器返回资源。

简化模式

简化模式流程说明

用户访问客户端，客户端通过用户代理向认证服务器请求授权码；
用户同意授权；
认证服务器返回一个重定向地址，该地址的url的Hash部分包含了令牌；
用户代理向资源服务器发送请求，其中不带令牌信息；
资源服务器返回一个网页，其中包含的脚本可以获取Hash中的令牌；
用户代理执行脚本提取令牌；
用户代理将令牌返回给客户端；
客户端携带令牌向资源服务器请求资源；
资源服务器返回资源。