OAuth 2.0 und JWT-Autorisierung mit Kotlin: in der Praxis

Einführung in OAuth 2.0 und JWT mit Kotlin

Moderne Webanwendungen und APIs erfordern zuverlässige Authentifizierungs- und Autorisierungsmechanismen. Zwei Schlüsselstandards – OAuth 2.0 (Zugriffsdelegierungsprotokoll) und JWT (JSON Web Token, kompaktes Token-Format) – werden häufig zusammen verwendet, um sichere Systeme aufzubauen. Kotlin eignet sich aufgrund seiner Kompatibilität mit Java und seiner prägnanten Syntax hervorragend für die Implementierung dieser Protokolle.

In diesem Artikel werden wir praktisch erläutern, wie man OAuth 2.0- und JWT-Autorisierung mit Kotlin implementiert. Sie erfahren, wie Sie einen Token-Ausstellungsserver einrichten, geschützte Endpunkte erstellen und verschiedene Grant-Typen wie Authorization Code und Client Credentials verarbeiten.

Grundlagen: OAuth 2.0 und JWT

Was ist OAuth 2.0?

OAuth 2.0 ist ein Protokoll, das Drittanwendungen ermöglicht, eingeschränkten Zugriff auf Benutzerressourcen zu erhalten, ohne Login und Passwort weiterzugeben. Hauptbeteiligte:

\n
• Resource Owner (Ressourceninhaber) – in der Regel der Benutzer.
\n
• Client (Client) – die Anwendung, die Zugriff anfordert.
• Authorization Server (Autorisierungsserver) – stellt Token aus.
• Resource Server (Ressourcenserver) – speichert geschützte Daten.

Was ist JWT?

JWT ist ein kompaktes, URL-sicheres Token, das aus drei Teilen (Header, Payload, Signatur) besteht, die durch Punkte getrennt sind. Es wird verwendet, um Behauptungen (Claims) zwischen Parteien zu übertragen. Vorteile von JWT:

\n
• Erfordert keine Speicherung von Sitzungen auf dem Server (zustandslos).
• Enthält alle notwendigen Informationen (z. B. Benutzer-ID, Rollen).
• Ist digital signiert, was seine Integrität garantiert.

Implementierung von OAuth 2.0 mit JWT auf Kotlin (Spring Boot)

Betrachten wir ein praktisches Beispiel mit Spring Boot und der Bibliothek Spring Security. Wir erstellen einen einfachen Autorisierungsserver und eine geschützte Ressource.

Schritt 1: Abhängigkeiten konfigurieren

Fügen Sie in build.gradle.kts die erforderlichen Abhängigkeiten hinzu:

dependencies {\n    implementation("org.springframework.boot:spring-boot-starter-web")\n    implementation("org.springframework.boot:spring-boot-starter-security")\n    implementation("org.springframework.security:spring-security-oauth2-authorization-server")\n    implementation("io.jsonwebtoken:jjwt-api:0.12.3")\n    runtimeOnly("io.jsonwebtoken:jjwt-impl:0.12.3")\n    runtimeOnly("io.jsonwebtoken:jjwt-jackson:0.12.3")\n}

Schritt 2: Konfiguration des Autorisierungsservers

Erstellen Sie eine Konfigurationsklasse für OAuth 2.0:

import org.springframework.context.annotation.Bean\nimport org.springframework.context.annotation.Configuration\nimport org.springframework.security.config.annotation.web.builders.HttpSecurity\nimport org.springframework.security.config.annotation.web.configuration.EnableWebSecurity\nimport org.springframework.security.core.userdetails.User\nimport org.springframework.security.core.userdetails.UserDetailsService\nimport org.springframework.security.oauth2.core.AuthorizationGrantType\nimport org.springframework.security.oauth2.core.ClientAuthenticationMethod\nimport org.springframework.security.oauth2.server.authorization.client.InMemoryRegisteredClientRepository\nimport org.springframework.security.oauth2.server.authorization.client.RegisteredClient\nimport org.springframework.security.oauth2.server.authorization.client.RegisteredClientRepository\nimport org.springframework.security.oauth2.server.authorization.config.annotation.web.configuration.OAuth2AuthorizationServerConfiguration\nimport org.springframework.security.provisioning.InMemoryUserDetailsManager\nimport org.springframework.security.web.SecurityFilterChain\nimport java.util.UUID\n\n@Configuration\n@EnableWebSecurity\nclass SecurityConfig {\n\n    @Bean\n