春季安全 OAuth 2答案

【问题标题】：Spring security OAuth 2春季安全 OAuth 2
【发布时间】：2017-03-24 09:17:24
【问题描述】：

我已经有一个完全使用 Spring Oauth 2 (https://github.com/elohalili/OAuth) 的示例，我对其进行了一点定制，但我真的无法理解一件事：

在此示例中，要使用资源服务，我应该有来自 OAuth 服务器的令牌，因此它将用户重定向到该登录页面，凭据存储在数据库中，但不存储 OAuth 的客户端 ID 和客户端密码(acme : acmesecret);
而且在客户端中，唯一传递的客户端 ID 和客户端密码是 (acme : acmesecret)，因此所有将登录 OAuth 服务器的客户端都将使用相同的客户端 ID 和密码进行记录，这是错误的！

我的问题是如何以动态方式管理客户端 ID 和机密，以便任何登录的用户都将使用他自己的凭据登录？以及客户端如何已经知道用户的客户端 ID 和密码以将它们传递给 OAuth 服务器？

【问题讨论】：

标签： java spring oauth-2.0 spring-security-oauth2

【解决方案1】：

clientID 和 clientSecret 是应用程序的凭据，它们想要授权令牌，而不是用户和密码。我对 OAuth2 (https://oauth.net/2/) 了解不多，但我知道在 OIDC (http://openid.net/connect/) 中可以动态注册新客户端。客户端是应用程序，而不是用户，例如

Person（使用用户名：密码）-> Android 应用/IOS 应用（客户端 clientId:clientSecret）-> 资源服务器

【讨论】：