Rest API中的Spring Security Oauth2

Question

我已经实现了Web服务，目前正在致力于安全性。

该Web服务是使用Spring Boot实现的。 最初，我将以Android应用程序和Web应用程序的形式来吸引客户，但将来我会考虑将此API公开，因此我也必须考虑这个问题。

我对Spring Security Oauth2进行了很多研究，但是基本上有两个疑问：

• 到目前为止，我所看到的所有示例都一直在使用Web App客户端，其中服务器将重定向到url的身份验证。 在Android应用程序中，如何完成身份验证？ 毕竟，我无法在Android上使用HTML进行重定向。

• 我需要我的客户使用Facebook登录名，用户可以在其中通过应用程序进行共享。 最初，我考虑了应用程序的客户端负责执行此身份验证，然后以某种方式将其发送到我的服务器的可能性，因为我认为它比Spring Social更实用。 这可能吗？

非常感谢，我的用例体系结构的任何技巧都将受到欢迎。

Answer 1

一种可能性是采用像keycloak这样的联合身份管理系统。 Keycloak提供适用于Spring的适配器，而android具有完整的OAUTH2支持，使您可以使用Facebook作为身份提供者。 它给您带来很多好处，因为您最可能需要的许多功能已经存在。 另一方面，这是一个很大的主题，因此请注意，这将需要一些时间才能使整个设置生效。 您将需要托管密钥库，为Android应用程序和Web应用程序配置客户端，为Android应用程序和Web应用程序引入密钥库适配器，最后将Facebook配置为身份提供者。

编辑：

在这里看看，这似乎很有希望。 总的来说，我不得不承认我自己并未将keycloak与facebook或Android集成。 我们利用它来保护我们的spring-boot和Java EE应用程序。 我只是在集成方面投入了很多精力，并且对所声明的功能一无所知。 还有做手工的oauth2在Android上的可能性见 。 这是一个如何进行Facebook集成的示例。 我希望这个帮助能祝你好运 ;）