OAuth2 /token 端点异常：OAuth2AuthorizationRequest 保存是关键

2024-11-11 19:23:43

OAuth2AuthorizationRequest 的保存：/token 端点异常的根源

在实现自定义 OAuth2AuthorizationService 时，开发者有时会选择只保存核心的授权信息（如客户端、授权类型、范围等），而忽略 OAuth2Authorization 对象中的属性，特别是 OAuth2AuthorizationRequest。这看似合理的做法，却可能导致 /token 端点抛出 NullPointerException 异常。本文将深入探讨这一问题，并提供有效的解决方案。

问题分析：为什么需要保存 OAuth2AuthorizationRequest？

OAuth2AuthorizationRequest 包含了授权请求的关键信息，例如客户端 ID、重定向 URI、作用域以及其他自定义参数。在授权码模式下，/authorize 端点生成授权码后，会将 OAuth2AuthorizationRequest 作为属性存储在 OAuth2Authorization 对象中。后续 /token 端点需要访问这些信息以验证请求的合法性，例如验证 code_verifier，确保客户端和授权范围与原始请求一致。如果没有保存 OAuth2AuthorizationRequest，/token 端点就无法获取这些关键信息，从而导致异常。

CodeVerifierAuthenticator.authenticate 方法中的 NullPointerException 异常正是由于 OAuth2Authorization 对象中缺少 OAuth2AuthorizationRequest 属性导致的。尝试在获取授权信息后重新构建 OAuth2AuthorizationRequest 对象并非理想的解决方案，因为这需要硬编码请求 URI 和授权类型，降低了系统的灵活性和可维护性。

解决方案：如何正确保存 OAuth2AuthorizationRequest？

解决这个问题的关键在于，必须在 OAuth2AuthorizationService 的 save 方法中保存完整的 OAuth2Authorization 对象，包括其所有属性，特别是 OAuth2AuthorizationRequest。避免手动挑选要保存的属性。 Spring Authorization Server 已经提供了完善的机制来处理这些属性的序列化和反序列化，开发者无需手动干预。

方法一：直接保存 OAuth2Authorization 对象

最简单的方案是直接保存 OAuth2Authorization 对象。任何自定义的实现都应该确保在 save 方法中完整保存了传入的 OAuth2Authorization 对象，而不要尝试拆解和部分保存。

@Override
public void save(OAuth2Authorization authorization) {
    //  直接保存 authorization 对象，不要做任何修改或拆解
    //  使用合适的持久化机制，例如 JPA, JdbcTemplate, Redis 等
    authorizationRepository.save(authorization); 
}

方法二：自定义序列化和反序列化

对于更复杂的场景，例如需要对 OAuth2Authorization 进行自定义序列化以提高存储效率或兼容现有系统，需要确保 OAuth2AuthorizationRequest 及其他所有属性都被正确地序列化和反序列化。

//  示例：使用 Jackson 进行序列化
public class OAuth2AuthorizationJacksonSerializer implements OAuth2AuthorizationSerializer<String> {

    private final ObjectMapper objectMapper = new ObjectMapper();

    @Override
    public String serialize(OAuth2Authorization authorization) throws OAuth2AuthorizationSerializationException {
       try {
           return objectMapper.writeValueAsString(authorization);
       } catch (JsonProcessingException e) {
           throw new OAuth2AuthorizationSerializationException(e.getMessage());
       }
    }

    @Override
    public OAuth2Authorization deserialize(String s) throws OAuth2AuthorizationSerializationException {
        try {
            return objectMapper.readValue(s, OAuth2Authorization.class);
        } catch (JsonProcessingException e) {
            throw new OAuth2AuthorizationSerializationException(e.getMessage());
        }
    }
}

// 配置 OAuth2AuthorizationService 使用自定义的序列化器
@Bean
public OAuth2AuthorizationService authorizationService(JdbcTemplate jdbcTemplate, RegisteredClientRepository registeredClientRepository) {
    return new JdbcOAuth2AuthorizationService(jdbcTemplate, registeredClientRepository);
        .setAuthorizationSerializer(new OAuth2AuthorizationJacksonSerializer()); // 设置自定义序列化器
}

请确保你的自定义序列化器能够处理 OAuth2Authorization 对象中的所有属性，包括 OAuth2AuthorizationRequest 和其他自定义属性。

安全建议

使用安全的持久化机制存储授权信息，例如数据库加密或使用安全的内容分发网络（CDN）。
定期轮换用于加密授权信息的密钥。
遵循最小权限原则，限制对授权信息的访问。
及时更新 Spring Authorization Server 及相关依赖，以获取最新的安全补丁。

通过以上方法，可以确保 OAuth2AuthorizationRequest 被正确保存和加载，从而避免 /token 端点出现 NullPointerException 异常，并保障授权服务器的稳定运行。记住，完整地保存 OAuth2Authorization 对象是解决这个问题的关键。