如何使用OAuth基于证书的认证保护Servlet应用的独立API

这完全可行，对应的是OAuth 2.0中的TLS客户端证书认证，属于客户端身份验证的合规方式，适配你的Servlet/Web API场景，具体实现步骤如下：

一、基础准备 #

• 生成客户端证书链：使用OpenSSL创建客户端证书（含公钥、私钥），同时确保授权服务器信任该证书的CA根证书。示例命令：

  # 生成CA根证书
  openssl req -x509 -sha256 -days 3650 -newkey rsa:2048 -keyout ca.key -out ca.crt
  # 生成客户端私钥
  openssl genrsa -out client.key 2048
  # 生成客户端证书签名请求（CSR）
  openssl req -new -key client.key -out client.csr
  # 用CA根证书签署客户端证书
  openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt -days 365 -sha256
  

• 确认你的Servlet容器（Tomcat、Jetty等）支持双向TLS配置，客户端证书验证需在TLS握手阶段完成。

二、授权服务器配置（OAuth 2.0核心节点） #

• 配置Servlet容器开启双向TLS：
  以Tomcat为例，修改server.xml的<Connector>节点，添加客户端证书强制验证配置：

  <Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"
             maxThreads="150" SSLEnabled="true">
      <SSLHostConfig>
          <Certificate certificateKeystoreFile="conf/localhost-rsa.jks"
                       type="RSA"
                       clientAuth="required"
                       truststoreFile="conf/ca-truststore.jks"/>
      </SSLHostConfig>
  </Connector>
  

  其中clientAuth="required"强制客户端提供证书，truststoreFile为存放信任CA根证书的密钥库。
• 替换客户端身份校验逻辑：
  在OAuth授权服务器的Servlet代码中，通过request.getAttribute("javax.servlet.request.X509Certificate")获取客户端证书链，解析证书的DN（专有名称）或序列号作为客户端标识，替代传统的client_id和client_secret校验。
• 适配OAuth流程：在授权码/客户端凭证等模式中，跳过client_secret校验环节，改为验证客户端证书是否在信任列表中，且证书标识与预注册的客户端信息匹配。

三、客户端配置 #

• 打包客户端证书为密钥库：将生成的客户端证书和私钥转为PKCS12格式的密钥库，方便客户端程序调用：

  openssl pkcs12 -export -in client.crt -inkey client.key -out client.p12
  

• 配置客户端TLS握手：以Java客户端为例，设置JVM参数指定密钥库信息，请求时自动携带证书：

  System.setProperty("javax.net.ssl.keyStore", "/path/to/client.p12");
  System.setProperty("javax.net.ssl.keyStorePassword", "your-p12-password");
  System.setProperty("javax.net.ssl.keyStoreType", "PKCS12");
  

  客户端请求授权服务器的授权/令牌端点时，无需在请求参数中携带client_id和client_secret，TLS握手阶段会自动完成身份验证。

四、API资源服务器配置 #

• 可选开启双向TLS：若资源服务器与授权服务器共享信任库，可仅验证令牌有效性；否则需同样配置双向TLS确保客户端身份合法性。
• 令牌验证逻辑：
  • 从授权服务器获取公钥或JWKS信息，验证访问令牌的签名有效性。
  • 校验令牌中携带的客户端标识（来自证书的DN/序列号）与资源服务器的权限规则匹配。
• 实现Servlet拦截器：自定义Filter拦截所有API请求，提取Authorization头中的Bearer令牌，验证通过后放行，否则返回401 Unauthorized。

五、测试流程 #

1. 客户端发起TLS请求到授权服务器的令牌端点（如POST /oauth/token），携带对应OAuth模式的参数（如授权码模式下的code、redirect_uri）。
2. 授权服务器完成TLS握手，验证客户端证书有效性后颁发访问令牌。
3. 客户端携带令牌请求资源服务器的受保护API端点，验证通过后获取资源。

内容的提问来源于stack exchange，提问作者Anonymous User