@Transactional    public OAuth2AccessToken createAccessToken() {        OAuth2AccessToken existingAccessToken = tokenStore.getAccessToken(authentication);        OAuth2RefreshToken refreshToken = null;        // 重写此处，当用户关联的token 存在时，删除原有令牌        if (existingAccessToken != null) {            tokenStore.removeAccessToken(existingAccessToken);        }        else if (refreshToken instanceof ExpiringOAuth2RefreshToken) {            ExpiringOAuth2RefreshToken expiring = (ExpiringOAuth2RefreshToken) refreshToken;            if (System.currentTimeMillis() > expiring.getExpiration().getTime()) {                refreshToken = createRefreshToken(authentication);            }        }    OAuth2AccessToken accessToken = createAccessToken(authentication, refreshToken);    tokenStore.storeAccessToken(accessToken, authentication);    // In case it was modified    refreshToken = accessToken.getRefreshToken();    if (refreshToken != null) {        tokenStore.storeRefreshToken(refreshToken, authentication);    }    return accessToken;}

重写 Token key 生成逻辑

如上代码，我们实现用户单一终端的唯一性登录，什么是单一终端我们可以类比 QQ 登录移动端和 PC 端可以同时登录，但移动端和移动端不能同时在线。
如何能够实现在不同客户端也能够唯一性登录呢？

先来看上文源码 OAuth2AccessToken existingAccessToken=tokenStore.getAccessToken(authentication); 是如何根据用户信息判断 token 存在的呢？

public OAuth2AccessToken getAccessToken(OAuth2Authentication authentication) {        String key = authenticationKeyGenerator.extractKey(authentication);          // redis 查询逻辑，根据 key        return accessToken;}

AuthenticationKeyGenerator key值生成器默认情况下根据 username/clientId/scope 参数组合生成唯一token

public String extractKey(OAuth2Authentication authentication) { Map<String, String> values = new LinkedHashMap<String, String>(); OAuth2Request authorizationRequest = authentication.getOAuth2Request(); if (!authentication.isClientOnly()) { values.put(USERNAME, authentication.getName()); } values.put(CLIENT_ID, authorizationRequest.getClientId()); if (authorizationRequest.getScope() != null) { values.put(SCOPE, OAuth2Utils.formatParameterList(new TreeSet(authorizationRequest.getScope()))); } return generateKey(values);}
若想实现，多终端的唯一性登录，只需要使得同一个用户在多个终端生成的 token 一致，加上上文提到的 createToken 修改逻辑,既去掉extractKey 的 clientId 条件，不区分终端即可

public String extractKey(OAuth2Authentication authentication) { Map<String, String> values = new LinkedHashMap<String, String>(); OAuth2Request authorizationRequest = authentication.getOAuth2Request(); if (!authentication.isClientOnly()) { values.put(USERNAME, authentication.getName()); } if (authorizationRequest.getScope() != null) { values.put(SCOPE, OAuth2Utils.formatParameterList(new TreeSet(authorizationRequest.getScope()))); } return generateKey(values);}
最后在 authserver 中注入新的 TokenService 即可

想充电就关注程序员闪充宝

Spring Security OAuth2 实现多人登录互踢下线