使用 OAuth2 进行 Spring 生产就绪身份验证 [关闭]

Question

我正在寻求帮助，帮助我选择正确、最现代和最安全的身份验证方式。我在前端使用 Spring 作为后端以及 Angular。我会补充一点，我想使用 OAuth2。我真的搜索了很多网站并没有找到直接的答案。我真的很困惑……

我从this implementation 开始，但在阅读this recommendations 后就停止了。到目前为止，我知道我应该将授权代码授予与 PKCE 一起使用。

它是如何在已经投入生产的应用程序中完成的？ 到目前为止，最明智（我认为）的选择是使用 Keycloak 实现身份验证。 embedded version可靠吗？

Answer 1

如果您想使用 OAuth 保护您的 API，那么您可以使用许多产品（开源和付费解决方案，如果您搜索“身份服务器”，您应该能够找到一些解决方案）。 Keycloak 是一个可行的选择，但还有其他选择。

在选择流程时，我也会使用 PKCE 的授权代码授予。这是目前推荐的方式，特别是如果您将直接从 Angular 应用程序执行 OAuth 流。

这是您必须做出的另一个决定 - 您是否希望前端客户端直接联系授权服务器（然后您必须在前端应用程序中处理令牌），或者您希望调用您的后端并让后端与授权服务器（那么您可能会有一个会话 cookie，并将会话与任何访问令牌相关联）。