Spring应用中能否采用OAuth2密码授权流实现登录？

当然可以在Spring应用中使用OAuth2密码授权流实现登录，虽然Spring Security OAuth2默认更推荐授权码流（安全性更高），但密码流依然是官方支持的场景之一，适合高度信任的内部应用这类特定场景使用。

1. 依赖配置 #

如果是Spring Boot项目，需引入Spring Security OAuth2相关依赖，以Maven为例，在pom.xml中添加：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-authorization-server</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2. 授权服务器配置 #

创建配置类，启用密码授权流：

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private UserDetailsService userDetailsService;

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
                .withClient("password-client")
                .secret("{noop}secret") // 生产环境务必使用加密后的密钥
                .authorizedGrantTypes("password", "refresh_token")
                .scopes("read", "write")
                .accessTokenValiditySeconds(3600)
                .refreshTokenValiditySeconds(86400);
    }

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints.authenticationManager(authenticationManager)
                .userDetailsService(userDetailsService);
    }
}

3. Spring Security安全配置 #

配置用户认证规则和端点权限：

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    @Bean
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication()
                .withUser("user")
                .password("{noop}password") // 生产环境需替换为加密后的密码
                .roles("USER");
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
                .anyRequest().authenticated()
                .and()
                .httpBasic();
    }
}

4. 测试密码流请求 #

通过POST请求获取访问令牌：

POST /oauth/token
请求参数（form-data格式）：
grant_type: password
username: user
password: password
client_id: password-client
client_secret: secret
scope: read

关键注意事项 #

• 密码授权流仅适用于完全信任的客户端，因为客户端需要直接获取用户的账号密码，存在泄露风险，不符合OAuth2的设计初衷，非必要场景不建议使用。
• 生产环境必须使用加密算法（如BCrypt）处理客户端密钥和用户密码，绝对不能使用{noop}前缀（该前缀仅用于明文存储测试）。

内容的提问来源于stack exchange，提问作者Bipin Hirani