综合练习

这一课你将能做到

1. 独立跑通最小闭环：GitHub OAuth App → Spring OAuth2 Client → 映射本地用户 → 签发本站 JWT → 前端 callback 落 cookie
2. 可选分支：为 /api/v1/** 挂上 Resource Server，用带 tracks:read 的 access token 读接口，验证 401/403 行为
3. 交出验收清单：密码轨与 OAuth 轨互不破坏、安全项全勾、README 写清「何时用哪种 token」

为什么要学

前 11 课拆零件，这一课装整机。判断你是否真学会的标准，不是能背多少术语，而是：

• 点一下按钮，能从 platform 跳到 GitHub 再带着本站会话回来；
• Network 里每一条请求的「角色」你都说得清：这是 authorize、这是 callback、这是换票、这是 RS 验签；
• 在仓库里搜 SECRET 搜不到真实值；
• 无 token 401、缺 scope 403、关掉 OAuth 密码登录照常工作。

做完这个练习，backend 的 OAuth 实验节点就可以打勾，并留下一段「何时用哪种 token」的团队文档——这是从「学过」到「用过」的分界线。

先建立图像

[Next platform]「GitHub 登录」按钮
        │ window.location → backend
        ▼
[Spring] /oauth2/authorization/github        ← Client 链：生成 state、302
        ▼
[GitHub IdP] 登录 + 同意
        ▼
[Spring] /login/oauth2/code/github           ← 框架验 state、换 token、拉用户
        │ OAuth2LoginSuccessHandler
        │   findOrCreate(provider, externalId)
        │   jwtUtil.sign(uid, role)          ← 本站自研 JWT
        ▼
[Next] /login/callback?token=...             ← AuthProvider 写 HttpOnly cookie
        ▼
后续所有请求 = 与密码登录完全相同的站内凭证轨道

可选分支：
[外部 Client] Bearer(IdP 签发, 含 tracks:read) → /api/v1/tracks（Resource Server 链）

跟着做

步骤 1：IdP 注册

GitHub → Developer settings → OAuth Apps → New
Homepage:      http://localhost:3000
Callback URL:  http://localhost:8080/login/oauth2/code/github
Client ID / Secret → 写入环境变量 GITHUB_CLIENT_ID / GITHUB_CLIENT_SECRET

自检点：Callback URL 与 Spring 默认路径逐字一致；secret 未出现在任何将被提交的文件里。

步骤 2：Client 配置与成功处理器

spring:
  security:
    oauth2:
      client:
        registration:
          github:
            client-id: ${GITHUB_CLIENT_ID}
            client-secret: ${GITHUB_CLIENT_SECRET}
            scope: read:user,user:email

实现 OAuth2LoginSuccessHandler（完整代码见第 7 课）：findOrCreateFromOAuth("github", externalId, attrs) → jwtUtil.sign(...) → 302 回 frontendUrl + "/login/callback?token=" + URLEncoder.encode(token, UTF_8)。

启动 backend，浏览器访问 http://localhost:8080/oauth2/authorization/github，应能走完授权并回到前端。