10张图，终于把OAuth2搞清楚了（oauto2）

对于身份认证和用户授权，之前写过几篇关于Shiro和Security的文章从发送口令获取源码的反馈来看，大家还是比较认可的今天给大家带来一种新的授权方式：oauth2理论OAuth是一个关于授权（authorization

）的开放网络标准，用来授权第三方应用获取用户数据，是目前最流行的授权机制，它当前的版本是2.0应用场景假如你正在“网站A”上冲浪，看到一篇帖子表示非常喜欢，当你情不自禁的想要点赞时，它会提示你进行登录操作。

打开登录页面你会发现，除了最简单的账户密码登录外，还为我们提供了微博、微信、QQ等快捷登录方式。假设选择了快捷登录，它会提示我们扫码或者输入账号密码进行登录。

登录成功之后便会将QQ/微信的昵称和头像等信息回填到“网站A”中，此时你就可以进行点赞操作了名词定义在详细讲解oauth2之前，我们先来了解一下它里边用到的名词定义吧：Client：客户端，它本身不会存储用户快捷登录的账号和密码，只是通过资源拥有者的授权去请求资源服务器的资源，即例子中的网站A；。

Resource Owner：资源拥有者，通常是用户，即例子中拥有QQ/微信账号的用户；Authorization Server：认证服务器，可以提供身份认证和用户授权的服务器，即给客户端颁发token

和校验token；Resource Server：资源服务器，存储用户资源的服务器，即例子中的QQ/微信存储的用户信息；认证流程

如图是oauth2官网的认证流程图，我们来分析一下：A客户端向资源拥有者发送授权申请；B资源拥有者同意客户端的授权，返回授权码；C客户端使用授权码向认证服务器申请令牌token；D认证服务器对客户端进行身份校验，认证通过后发放令牌；

E客户端拿着认证服务器颁发的令牌去资源服务器请求资源；F资源服务器校验令牌的有效性，返回给客户端资源信息；为了大家更好的理解，阿Q特地画了一张图：

到这儿，相信大家对理论知识已经掌握的差不多了，接下来我们就进入实战训练吧实战在正式开始搭建项目之前我们先来做一些准备工作：要想使用oauth2的服务，我们得先创建几张表数据库oauth2相关的建表语句可以参考官方初始化sql，也可以查看阿Q项目中的。

init.sql文件，回复“oauth2”获取源码。

至于表结构，大家可以先大体了解下，其中字段的含义，在init.sql文件中阿Q已经做了说明oauth_client_details：存储客户端的配置信息，操作该表的类主要是JdbcClientDetailsService.java。

；oauth_access_token：存储生成的令牌信息，操作该表的类主要是JdbcTokenStore.java；oauth_client_token：在客户端系统中存储从服务端获取的令牌数据，操作该表的类主要是

JdbcClientDetailsService.java；oauth_code：存储授权码信息与认证信息，即只有grant_type为authorization_code时，该表才会有数据，操作该表的类主要是

JdbcAuthorizationCodeServices.java；oauth_approvals：存储用户的授权信息；oauth_refresh_token：存储刷新令牌的refresh_token

，如果客户端的grant_type不支持refresh_token，那么不会用到这张表，操作该表的类主要是JdbcTokenStore；在oauth_client_details表中添加一条数据client_id:cheetah_one //客户端名称，必须唯一 . l: |7 P1 F8 l' R! ~: U$ H7 l resource_ids:product_api //客户端所能访问的资源id集合,多个资源时用逗号(,)分隔* ^) g/ G, @2 {* i! R client_secret2a$1

0$h/TmLPvXozJJHXDyJEN22ensJgaciomfpOc9js9OonwWIdAnRQeoi //客户端的访问密码9 `9 J U% c+ v+ ?8 K' F scope:read,write //客户端申请的权限范围,可选值包括

read,write,trust若有多个权限范围用逗号(,)分隔/ j4 K9 I' J' j authorized_grant_types:client_credentials,implicit,authorization_code,refresh_token,password //指定客户端支持的grant_type,可选值包括authorization_code,password,refresh_token,implicit,client_credentials, 若支持多个grant_type用逗号(,)分隔 - B4 J, v" ^9 @ web_server_redirect_uri:http:。

//www.baidu.com //客户端的重定向URI,可为空, 当grant_type为authorization_code或implicit时, 在Oauth的流程中会使用并检查与注册时填写的redirect_uri是否一致6 K8 Y) t& b5 b4 t0 { access_token_validity:

43200 //设定客户端的access_token的有效时间值(单位:秒),可选, 若不设定值则使用默认的有效时间值(60 * 60 * 12, 12小时)/ q' n4 @6 W. x3 s$ C autoapprove:false //设置用户是否自动Approval操作, 默认值为

false, 可选值包括 true,false, read,write数据库中对密码进行了加密处理，大家可以在此路径下自行生成

用户角色相关的表也在init.sql文件中，表结构非常简单，大家自行查阅。我的初始化数据为

依赖引入org.springframework.bootspring-boot-starter-web

>org.springframework.cloudspring-cloud-starter-security

org.springframework.cloudspring-cloud-starter-oauth2

org.springframework.securityspring-security-jwt

至于其它依赖，大家可以根据需要自行引入，不再赘述，回复“oauth2”获取源码资源服务配置文件对服务端口、应用名称、数据库、mybatis和日志进行了配置。

写了一个简单的控制层代码，用来模拟资源访问@RestController@RequestMapping("/product")publicclassProductController{. B' i# |" S/ v. z, t w$ m4 Y( J5 |0 [0 q" i @GetMapping(

"/findAll")public String findAll(){ , y( o2 _- r4 {5 d- E return"产品列表查询成功"; - m2 u; x0 h3 H }* l0 I; f+ ?. U. B" w* ]( i4 \ } & |" Z/ H* A3 T: w% q% J, ] 接着创建配置类继承ResourceServerConfigurerAdapter

并增加@EnableResourceServer注解开启资源服务，重写两个configure方法/**1 Z" }( L4 d! C' P& t8 J0 _ * 指定token的持久化策略 {7 [% D- Y- Q) W v1 [ * InMemoryTokenStore 表示将token存储在内存中2 A: B) h% v" c' S7 I7 B4 v. _ * RedisTokenStore 表示将token存储在redis中, b# m: y1 q Z. L6 v* v) i * JdbcTokenStore 表示将token存储在数据库中 & h9 o4 I( p/ L8 T * @return. y, D/ L9 V' `$ t/ ^2 X: S6 ~ */

@Bean 0 n1 _4 ~/ v- m public TokenStore jdbcTokenStore(){ 4 f/ @& k* W7 H5 R" e: u returnnewJdbcTokenStore(dataSource);8 ~0 Y' k% K# @ j; f1 v) x } ( h# g+ a U6 s5 [4 D 2 k# x: O9 m0 m) w0 ~1 f& x" G /**" | m+ {' y" ^+ z0 \) C* w * 指定当前资源的id和token的存储策略 . y' K ^: O' h# w. p, f7 \3 f * @param resources" R0 l* Q) j2 o% x0 p' o; \ * @throws Exception, f2 _4 C5 e0 [+ D */

i+ `; ?, h' ]7 j, I @Overridepublicvoidconfigure(ResourceServerSecurityConfigurer resources) throwsException { 9 T. s2 l9 ]1 k //此处的id可以写在配置文件中，这里我们先写死

resources.resourceId("product_api").tokenStore(jdbcTokenStore()); $ h1 K: u' E' G; U' Y! S' x } : T* z0 Y' k/ X3 g" r& x; ?( F8 Z+ E" q3 K9 E4 g9 b 7 C: \5 [( }8 ?. z+ u1 T) g1 C /**# [+ {; `3 o6 y: V/ ?+ a, K * 设置请求权限和header处理 8 H4 H, K' N5 A ~$ y. g5 L * @param http " m9 [# J1 Q, O * @throws Exception / [: F* T4 }0 ^( T) k4 p( z */

3 ^8 B) v% T& X* ]+ x @Overridepublicvoidconfigure(HttpSecurity http) throwsException { 5 {$ N1 P! [* g# V //固定写法http.authorizeRequests() & n* l6 D/ u' ?4 l" O- m! p

//指定不同请求方式访问资源所需的权限，一般查询是read，其余都是write.antMatchers(HttpMethod.GET,"/**").access("#oauth2.hasScope(read)"

) [. N) H0 o$ r .antMatchers(HttpMethod.POST,"/**").access("#oauth2.hasScope(write)") 8 V6 z2 z5 y0 b( V2 T b; g .antMatchers(HttpMethod.PATCH,

"/**").access("#oauth2.hasScope(write)"); V2 x- b& n% \8 U1 q( U4 H/ }/ E .antMatchers(HttpMethod.PUT,"/**").access("#oauth2.hasScope(write)"

)$ z0 q P7 U( D) Q4 {. |0 Y1 A9 q& O .antMatchers(HttpMethod.DELETE,"/**").access("#oauth2.hasScope(write)") ( P; d' z, E, @( J! M' g$ L5 _ .and() ! O% ~& W: J( H6 Q8 l5 Q& i .headers().addHeaderWriter

((request,response) -> { ! [# ]3 j0 |2 A# X2 S! j //域名不同或者子域名不一样并且是ajax请求就会出现跨域问题//允许跨域response.addHeader("Access-Control-Allow-Origin"

,"*");/ d* q1 u; r% m4 [ //跨域中会出现预检请求，如果不能通过，则真正请求也不会发出//如果是跨域的预检请求，则原封不动向下传递请求头信息，否则预检请求会丢失请求头信息（主要是token信息）if(request.getMethod().equals(

"OPTIONS")){# o P2 O3 {' ~' C" s3 w. _9 Q response.setHeader("Access-Control-Allow-Methods",request.getHeader("Access-Control-Allow-Methods"

));: G8 U. O5 X" [- n/ R7 G response.setHeader("Access-Control-Allow-Headers",request.getHeader("Access-Control-Allow-Headers"

)); ^- t1 w0 C% W$ H; q! X }$ Z) N- K0 l3 N( x8 Z, d }); 0 Q! b- R8 `7 C8 a" M$ z } , Z3 w2 m. L# e5 B0 [$ E) Z 当然我们也可以配置忽略校验的url，在上边的public void configure(HttpSecurity http) throws Exception中进行配置

ExpressionUrlAuthorizationConfigurer % R2 P! o: X- s2 z. p- u- q/ s9 l .ExpressionInterceptUrlRegistry config = http.requestMatchers().anyRequest() - _) @& Z2 U6 B% U7 G8 | .

and() & C n' V1 O& @ .authorizeRequests();3 f5 R8 T/ q' ^& y6 ~ properties.getUrls().forEach(e -> { 5 k& \; r) X) h l& t! ]& L/ H, q config.antMatchers(e).permitAll(); - |: f' y- S6 d' V! W' U- i) p });1 d8 @8 x+ P$ M3 ?' T3 `

因为我们是需要进行校验的，所以我把对应的代码给注释掉了，大家可以回复“oauth2”下载源码自行查看然后将实现了UserDetails的SysUser和实现了GrantedAuthority的SysRole。

放到项目中，当请求发过来时，oauth2会帮我们自行校验认证服务配置文件对服务端口、应用名称、数据库、mybatis和日志进行了配置Security配置还是和之前Security+JWT组合拳的配置大同小异，不了解的可以先看下该文。

①将继承了UserDetailsService的ISysUserService的实现类SysUserServiceImpl重写loadUserByUsername方法@Overridepublic UserDetails

loadUserByUsername(String username)throws UsernameNotFoundException {1 ~0 j8 b; i( \: P returnthis.baseMapper.selectOne(

new LambdaQueryWrapper().eq(SysUser::getUsername, username)); ' l7 x' J h7 Q# l$ \ } - k2 p. O! k; x% p+ z& A) a ②继承WebSecurityConfigurerAdapter

类，增加@EnableWebSecurity注解并重写方法/**1 s7 i/ d$ o; Q3 R& J1 S * 指定认证对象的来源和加密方式 . |8 a8 d! P, c * @param auth - s) m7 z; q& Z" e * @throws Exception & e j I3 s6 k {7 c */@Overridepublic

voidconfigure(AuthenticationManagerBuilder auth)throws Exception { 5 D4 X8 r- ~' K" D5 H' R auth.userDetailsService(userService).passwordEncoder(passwordEncoder()); * e$ G1 D4 g( g: q. O } 3 v# p/ q/ _6 }6 @2 C& }2 M; [( k$ q! i5 Y5 R

/**5 _0 @0 B' k0 t0 k0 t* N * 安全拦截机制（最重要） 7 f8 r' w2 Q' X5 e& ~- L * @param httpSecurity 6 {! Q, d( Q% M0 r/ { * @throws Exception + |2 W: N# a4 ~ */@Overridepublicvoidconfigure(HttpSecurity httpSecurity)

throws Exception { % H8 K; ^8 w" C httpSecurity $ n, L7 G* h% m! B( l //CSRF禁用，因为不使用session9 V1 p- ~8 k4 w& @ Z) T0 E( Q .csrf().disable()! X- ? s" g! H- e .authorizeRequests() 2 d8 f& F" U5 I# W

//登录接口和静态资源不需要认证 5 T4 _& l' r7 }1 Q .antMatchers("/login*","/css/*").permitAll() h, E# o2 r% e( ?0 n3 E //除上面的所有请求全部需要认证通过才能访问% Q# x7 ?( Z6 h( B .anyRequest().authenticated()$ @2 p! c. s0 y) q8 E

//返回HttpSecurity以进行进一步的自定义,证明是一次新的配置的开始 / }. p: D' w1 A( F .and()$ U% [% M" Z2 H8 u .formLogin() / i) `0 P4 Q2 V0 H5 s E- G //如果未指定此页面，则会跳转到默认页面// .loginPage("/login.html")

8 T1 A0 S: ^/ X0 k .loginProcessingUrl("/login") % x: ?8 A2 O7 D+ Z3 G" t .permitAll() 8 ?1 b8 M( T, I* B; c //认证失败处理类+ [+ X5 ]. c# Y- @ .failureHandler(customAuthenticationFailureHandler); 1 ]- J( ~* y5 l. |0 A( n9 F }& Z5 H+ w# A: v ) D4 ?# q, q5 I

/** ; h) V/ m' Z9 C9 j. a * AuthenticationManager 对象在OAuth2.0认证服务中要使用，提前放入IOC容器中 ( \; b6 {4 j4 l/ m. {- R0 A * @return # w* y, Y+ J, ] * @throws Exception 4 X! P3 [5 i2 v */@Override

@Beanpublic AuthenticationManager authenticationManagerBean()throws Exception { * ?$ d! I/ ]3 a! E/ a7 l+ A returnsuper.authenticationManagerBean();8 W' }% P# {/ t4 Y& ~3 l4 h } % ^0 g3 s# H$ @2 d" e7 x4 X

AuthorizationServer配置①继承AuthorizationServerConfigurerAdapter类，增加@EnableAuthorizationServer注解开启认证服务②依赖注入，注入7个实例

Bean对象/** ! S/ l( O3 M0 W9 Y' j9 M2 G2 Y; k * 数据库连接池对象 ' |0 i; w/ J+ M */privatefinal DataSource dataSource; / @ w2 J" D; E8 x+ x R* v* R z/ O: F2 z& h9 \8 r2 n /** + b3 v# N' X5 a# Y1 } * 认证业务对象 * X/ }! N, O: L1 U) ^; w */privatefinal ISysUserService userService;) V+ z3 {* E- W# B, ?, Q 3 H: Y2 t0 F* Q7 o- I

/**- Z9 s; U7 R8 y% `/ h, c * 授权码模式专用对象' A9 ~6 T4 k+ a5 ^: i6 U */privatefinal AuthenticationManager authenticationManager; 0 T h2 J! f: n6 @" j3 A ' X* z8 c7 T/ R# E/ R; p; @ /**0 T+ w* @# K( v, \' b * 客户端信息来源 $ W F8 @: r/ m0 Z4 I' _5 a0 B * @return

0 H* j7 r5 U9 B- {9 N# x: b* f */@Beanpublic JdbcClientDetailsService jdbcClientDetailsService(){& s3 r1 T5 R0 R8 o, C# G0 w7 S4 k returnnew JdbcClientDetailsService(dataSource); * y! U# N# W$ B3 g V7 ~ } - R8 j: t) `" B1 O" B/ f9 r _# b( i. h

/** U0 e, F3 X4 p8 l0 `8 E9 A9 X * token保存策略% p/ E4 D- c$ @" v. u5 F * @return $ @3 v% s4 J6 Z, H */@Beanpublic TokenStore tokenStore(){1 c0 X& E2 v; R6 m: l' C returnnew JdbcTokenStore(dataSource); ! ]; n6 h9 P7 o5 r) @% c5 G } 5 o: ~: v4 Z# k " i4 J3 p+ B& P H0 \4 V1 H

/**, K$ e1 ^" E& n% l& { * 授权信息保存策略 + z0 c5 m/ e# ~# ~9 T9 B * @return) B+ p- ^' j& Z( Y! f& }( O */@Beanpublic ApprovalStore approvalStore(){ * L. Z3 G: n2 E) W! K returnnew JdbcApprovalStore(dataSource);( \1 d' l. f% V1 s C. c' [ }: p1 e: N: @. d7 o- i( N: M8 r + O* ]* z& g: b4 O

/**5 s0 O) N1 u: F" w4 ` * 授权码模式数据来源 ! Y* m7 q3 E4 U: s * @return ! O! e. u+ f: |- l6 I */@Beanpublic AuthorizationCodeServices authorizationCodeServices(){" j5 ^5 }+ |- M: Z' K return

new JdbcAuthorizationCodeServices(dataSource); a9 l$ u& b9 q9 X4 @& L }0 Z0 v' v/ Q5 [: l) u0 c ③重写方法进行配置/** * x) ?8 y* G( W( t( k9 r * 用来配置客户端详情服务（ClientDetailsService） 0 |8 L0 q% [3 { * 客户端详情信息在这里进行初始化 1 ~0 B- S2 ^2 S5 G * 指定客户端信息的数据库来源 : |/ t! A7 e/ Y ~+ \ *

@param clients9 j! _. T D, {% x0 e# n& y- _) K * @throws Exception + a6 Q0 L9 o$ a* A5 F& O" W& | */@Overridepublicvoidconfigure(ClientDetailsServiceConfigurer clients)

throws Exception { ' |! F2 Y3 z, O clients.withClientDetails(jdbcClientDetailsService()); 0 j8 D5 Y3 ?( W+ J }+ k' G: F1 P, U1 @+ u+ v( w : \3 [, F. _2 \& W /**: ]" `4 { D. N U5 { * 检测 token 的策略 : i, I7 e) S& O1 B *

@param security7 z% O; T3 U! ~" B7 T& P$ J * @throws Exception # n" u. G2 l2 }8 \/ q */@Overridepublicvoidconfigure(AuthorizationServerSecurityConfigurer security)

throws Exception {; P) E0 n( U% l9 _ security* \9 @" o$ `& ^! J- L8 u2 a( g //允许客户端以form表单的方式将token传达给我们 4 x+ T' s3 y! t( o2 J& C1 \5 } .allowFormAuthenticationForClients() 5 e" R6 K6 F/ H# p

//检验token必须需要认证5 z( e/ L, B$ ]3 j .checkTokenAccess("isAuthenticated()"); " V. S8 O# Y3 h) P* E) N* k+ ] }4 d0 L, t+ g% u2 l9 H& u& R2 D 2 m4 e; O7 R3 U5 ?8 D# A/ V + A) ?# p- K+ i, h /** 2 a6 I' U. E: Q9 w9 b( F3 s * OAuth2.0的主配置信息 ( y( X4 k9 z6 x o0 Y, Y7 C& t( K5 T * @param endpoints , D+ Y! D. t8 L7 Y% x *

@throws Exception- x* s* b u! @3 u0 u* V+ ~( w5 d. ? */@Overridepublicvoidconfigure(AuthorizationServerEndpointsConfigurer endpoints)throws

Exception { ' w) B: y) W6 |$ ^& X8 N endpoints + w- {. F( A, F, e! S/ f" I8 u! n //刷新token时会验证当前用户是否已经通过认证 + y1 \2 j0 c' }7 X) ` .userDetailsService(userService)8 J6 U( r7 Q/ a U8 @ .approvalStore(approvalStore())2 H c# [6 z. G" _ .authenticationManager(authenticationManager) & Q1 g# ?8 F3 T |6 M% m! ^4 b .authorizationCodeServices(authorizationCodeServices()) % V# k8 P5 ^) q; G- `6 x6 U- G .tokenStore(tokenStore()); 4 b! U" @( p/ D3 A+ N3 v" v } ) l' A9 y7 }# A- c- Q

其它关于用户表和权限表的代码可参考源码，回复“oauth2”获取源码模式授权码模式我们前边所讲的内容都是基于授权码模式，授权码模式被称为最安全的一种模式，它获取令牌的操作是在两个服务端进行的，极大的减小了令牌泄漏的风险。

启动两个服务，当我们再次请求127.0.0.1:9002/product/findAll接口时会提示以下错误{ 4 d, U6 h+ q/ l2 C "error": "unauthorized", 3 k+ t3 Z) o, g8 r3 E+ `: m "error_description"

: "Full authentication is required to access this resource"" R/ _/ K( f5 c4 C4 } }( {% P+ o1 J7 \- D3 y ①调用接口获取授权码发送127.0.0.1:9001/oauth/authorize?response_type=code&client_id=cheetah_one

请求，前边的路径是固定形式的，response_type=code表示获取授权码，client_id=cheetah_one表示客户端的名称是我们数据库配置的数据。

该页面是oauth2的默认页面，输入用户的账户密码点击登录会提示我们进行授权，这是数据库oauth_client_details表我们设置autoapprove为false起到的效果。

选择Approve点击Authorize按钮，会发现我们设置的回调地址（oauth_client_details表中的web_server_redirect_uri）后边拼接了code值，该值就是授权码。

查看数据库发现oauth_approvals和oauth_code表已经存入数据了。拿着授权码去获取token

获取到token之后oauth_access_token和oauth_refresh_token表中会存入数据以用于后边的认证而oauth_code表中的数据被清除了，这是因为code值是直接暴漏在网页链接上的，。

oauth2为了防止他人拿到code非法请求而特意设置为仅用一次。拿着获取到的token去请求资源服务的接口，此时有两种请求方式

接下来我们再来看一下oauth2的其它模式。简化模式所谓简化模式是针对授权码模式进行的简化，它将授权码模式中获取授权码的步骤省略了，直接去请求获取token。

流程：发送请求127.0.0.1:9001/oauth/authorize?response_type=token&client_id=cheetah_one跳转到登录页进行登录，response_type=token

表示获取token。输入账号密码登录之后会直接在浏览器返回token，我们就可以像授权码方式一样携带token去请求资源了。

该模式的弊端就是token直接暴漏在浏览器中，非常不安全，不建议使用。密码模式密码模式下，用户需要将账户和密码提供给客户端向认证服务器申请令牌，所以该种模式需要用户高度信任客户端。

流程：请求如下

获取成功之后可以去访问资源了客户端模式客户端模式已经不太属于oauth2的范畴了，用户直接在客户端进行注册，然后客户端去认证服务器获取令牌时不需要携带用户信息，完全脱离了用户，也就不存在授权问题了

发送请求如下

获取成功之后可以去访问资源了。刷新token

权限校验除了我们在数据库中为客户端配置资源服务外，我们还可以动态的给用户分配接口的权限①开启Security内置的动态配置在开启资源服务时给ResourceServerConfig类增加注解@EnableGlobalMethodSecurity(securedEnabled = true,prePostEnabled = true)。

②给接口增加权限@GetMapping("/findAll")@Secured("ROLE_PRODUCT")public String findAll(){- \; u6 V0 D% n2 V7 L' A# x5 T return"产品列表查询成功"; [+ E% k" t7 [# n/ k0 [ }5 S6 X( B$ C9 f# U/ J

③在用户登录时设置用户权限@Overridepublic UserDetails loadUserByUsername(String username)throws UsernameNotFoundException

{ & Y9 w& w$ a* T# N3 N2 G SysUser sysUser = this.baseMapper.selectOne(new LambdaQueryWrapper().eq(SysUser::getUsername, username)); ; [& ~- @- o6 }! F# [ h+ E sysUser.setRoleList(AuthorityUtils.commaSeparatedStringToAuthorityList(

"ROLE_PRODUCT")); + {2 o n9 Z1 k Y0 E6 j$ e5 r return sysUser; 2 {+ @# u' x+ A }% @: U: H3 [; u5 U" u5 S- ~0 o/ R, X ( X) z1 B8 u* n8 b+ h5 W5 G9 y: J' X 然后测试会发现可以正常访问采坑包名问题当我在创建项目的时候，给product和server两个模块设置了不同的包名，导致发送请求获取资源时报错。

经过分析得知，在登录账号时会将用户的信息存储到oauth_access_token表的authentication中，在进行token校验时会根据token_id取出该字段进行反序列化，如果此时发现包名不一致便会导致解析

token失败，因此请求资源失败解决思路两个项目的包名改为一致；可以将用户和权限的实体抽成单独的模块，供其它模块引用；loadUserByUsername方法中使用的用户实体类不需要继承UserDetailsService。

类，每次返回时用user类包装一下即可；数据库问题当我在进行权限校验测试时，在设置权限时发现少打了一个单词，导致请求一直出错修改完成之后继续请求，仍提示权限不足于是我将数据库中oauth_refresh_token。

和oauth_access_token的数据清除，重新开始测试就可以了个人认为是生成token时发现数据库中token存在，故不刷新token，但进行校验时却用带有权限标识的token前去校验导致失败至于其它的小坑在这不再赘述，如果遇到问题，建议按照流程对比我的源码仔细检查，回复“oauth2”获取源码。

小结本文从原理、应用场景、认证流程出发，对oauth2进行了基本的讲解，并且手把手带大家完成了项目的搭建大家在对授权码模式、简化模式、密码模式、客户端模式进行测试的同时要将重点放到授权码模式上来源：阿Q说代码。