1. 概述有時 OAuth2 API 可能會與標準略有偏差，因此我們需要對標準 OAuth2 請求進行一些自定義。

Spring Security 5.1 提供對 OAuth2 授權和令牌請求的自定義支持。

在本教程中，我們將學習如何自定義請求參數和響應處理。

2. 自定義授權請求

首先，我們將自定義 OAuth2 授權請求。我們可以修改標準參數並向授權請求添加額外的參數，以滿足我們的需求。

為此，我們需要實現我們自己的<em>OAuth2AuthorizationRequestResolver</em>：

public class CustomAuthorizationRequestResolver 
  implements OAuth2AuthorizationRequestResolver {
    
    private OAuth2AuthorizationRequestResolver defaultResolver;

    public CustomAuthorizationRequestResolver(
      ClientRegistrationRepository repo, String authorizationRequestBaseUri) {
        defaultResolver = new DefaultOAuth2AuthorizationRequestResolver(repo, authorizationRequestBaseUri);
    }
    
    // ...
}

請注意，我們使用了<em>DefaultOAuth2AuthorizationRequestResolver</em>來提供基本功能。

我們還將覆蓋<em>resolve()</em>方法以添加我們的自定義邏輯：

public class CustomAuthorizationRequestResolver 
  implements OAuth2AuthorizationRequestResolver {

    //...

    @Override
    public OAuth2AuthorizationRequest resolve(HttpServletRequest request) {
        OAuth2AuthorizationRequest req = defaultResolver.resolve(request);
        if(req != null) {
            req = customizeAuthorizationRequest(req);
        }
        return req;
    }

    @Override
    public OAuth2AuthorizationRequest resolve(HttpServletRequest request, String clientRegistrationId) {
        OAuth2AuthorizationRequest req = defaultResolver.resolve(request, clientRegistrationId);
        if(req != null) {
            req = customizeAuthorizationRequest(req);
        }
        return req;
    }

    private OAuth2AuthorizationRequest customizeAuthorizationRequest(
      OAuth2AuthorizationRequest req) {
        // ...
    }

}

我們將使用我們的方法<em>customizeAuthorizationRequest()</em>方法在下一部分中添加我們的自定義操作。

在實現我們自定義的<em>OAuth2AuthorizationRequestResolver</em>之後，我們需要將其添加到我們的安全配置中：

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.oauth2Login()
          .authorizationEndpoint()
          .authorizationRequestResolver(
            new CustomAuthorizationRequestResolver(
              clientRegistrationRepository(), "/oauth2/authorize-client"))
        //...
    }
}

在這裏，我們使用了<em>oauth2Login().authorizationEndpoint().authorizationRequestResolver()</em>來注入我們的自定義<em>OAuth2AuthorizationRequestResolver</em>。

3. 自定義 授權請求標準參數 

現在，我們來討論實際的自定義。我們可以修改OAuth2AuthorizationRequest 的內容。

首先，我們可以修改每個授權請求的標準參數。

例如，我們可以生成自己的“state” 參數：

private OAuth2AuthorizationRequest customizeAuthorizationRequest(
  OAuth2AuthorizationRequest req) {
    return OAuth2AuthorizationRequest
      .from(req).state("xyz").build();
}

4. 授權請求 額外參數 

我們還可以使用 OAuth2AuthorizationRequest 的 additionalParameters() 方法，通過傳遞一個 Map 來添加額外的參數。

private OAuth2AuthorizationRequest customizeAuthorizationRequest(
  OAuth2AuthorizationRequest req) {
    Map<String,Object> extraParams = new HashMap<String,Object>();
    extraParams.putAll(req.getAdditionalParameters()); 
    extraParams.put("test", "extra");
    
    return OAuth2AuthorizationRequest
      .from(req)
      .additionalParameters(extraParams)
      .build();
}

private OAuth2AuthorizationRequest customizeOktaReq(OAuth2AuthorizationRequest req) {
    Map<String,Object> extraParams = new HashMap<String,Object>();
    extraParams.putAll(req.getAdditionalParameters()); 
    extraParams.put("idp", "https://idprovider.com");
    return OAuth2AuthorizationRequest
      .from(req)
      .additionalParameters(extraParams)
      .build();
}

@Configuration
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.tokenEndpoint()
          .accessTokenResponseClient(accessTokenResponseClient())
            //...
    }

    @Bean
    public OAuth2AccessTokenResponseClient<OAuth2AuthorizationCodeGrantRequest> accessTokenResponseClient(){
        DefaultAuthorizationCodeTokenResponseClient accessTokenResponseClient = 
          new DefaultAuthorizationCodeTokenResponseClient(); 
        accessTokenResponseClient.setRequestEntityConverter(new CustomRequestEntityConverter()); 

        OAuth2AccessTokenResponseHttpMessageConverter tokenResponseHttpMessageConverter = 
          new OAuth2AccessTokenResponseHttpMessageConverter(); 
        tokenResponseHttpMessageConverter.setAccessTokenResponseConverter(new CustomTokenResponseConverter()); 
        RestTemplate restTemplate = new RestTemplate(Arrays.asList(
          new FormHttpMessageConverter(), tokenResponseHttpMessageConverter)); 
        restTemplate.setErrorHandler(new OAuth2ErrorResponseErrorHandler()); 
        
        accessTokenResponseClient.setRestOperations(restTemplate); 
        return accessTokenResponseClient;
    }
}

我們可以使用 OAuth2AccessTokenResponseClient 通過 tokenEndpoint().accessTokenResponseClient().