Capítulo 4: OAuth2 e Login Social

Introdução

Ao invés de gerenciar senhas você mesmo, por que não deixar o Google, GitHub ou Facebook cuidarem disso? OAuth2 permite que seus usuários façam login com suas contas existentes, melhorando a experiência do usuário e a segurança.

---

🎯 Objetivos do Capítulo

Ao final deste capítulo, você saberá:

1. ✅ Compreender OAuth2 e seus conceitos
2. ✅ Distinguir os diferentes fluxos OAuth2
3. ✅ Configurar Spring Security OAuth2 Client
4. ✅ Implementar o login com Google
5. ✅ Recuperar as informações do usuário

---

1. Conceitos do OAuth2

Os 4 Papéis

Papel	Descrição	Exemplo
Resource Owner	O usuário que possui os dados	João que quer se conectar
Client	Seu aplicativo	seu-app.com
Authorization Server	Servidor que autentica	accounts.google.com
Resource Server	Servidor que possui os dados	googleapis.com

Authorization Code Flow

O fluxo mais seguro para aplicações web:

---

2. Configuração Spring Boot

Dependências

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-client</artifactId>
</dependency>

Configuração Google

Etapa 1: Criar um Projeto no Google Cloud

1. Acesse https://console.cloud.google.com
2. Crie um novo projeto
3. Vá em "APIs & Services" → "Credentials"
4. Crie "OAuth 2.0 Client IDs"
5. Tipo: "Web application"
6. Authorized redirect URIs: http://localhost:8080/login/oauth2/code/google

Etapa 2: application.properties

# Google OAuth2
spring.security.oauth2.client.registration.google.client-id=SEU_CLIENT_ID
spring.security.oauth2.client.registration.google.client-secret=SEU_CLIENT_SECRET
spring.security.oauth2.client.registration.google.scope=openid,profile,email

Configuração GitHub

Etapa 1: Configurações de Desenvolvedor do GitHub

1. Acesse https://github.com/settings/developers
2. "OAuth Apps" → "New OAuth App"
3. Homepage URL: http://localhost:8080
4. Authorization callback URL: http://localhost:8080/login/oauth2/code/github

Etapa 2: application.properties

# GitHub OAuth2
spring.security.oauth2.client.registration.github.client-id=SEU_CLIENT_ID
spring.security.oauth2.client.registration.github.client-secret=SEU_CLIENT_SECRET
spring.security.oauth2.client.registration.github.scope=user:email

---

3. SecurityConfig para OAuth2

Configuração Básica

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/", "/login", "/error", "/css/**", "/js/**").permitAll()
                .anyRequest().authenticated()
            )
            .oauth2Login(oauth -> oauth
                .loginPage("/login")
                .defaultSuccessUrl("/dashboard")
            )
            .logout(logout -> logout
                .logoutSuccessUrl("/")
            )
            .build();
    }
}

Página de Login com Botões OAuth2

<!-- templates/login.html -->
<!DOCTYPE html>
<html xmlns:th="http://www.thymeleaf.org">
<head>
    <title>Login</title>
    <style>
        .oauth-buttons { margin-top: 20px; }
        .oauth-btn {
            display: inline-block;
            padding: 10px 20px;
            margin: 5px;
            border-radius: 5px;
            text-decoration: none;
            color: white;
        }
        .google { background: #db4437; }
        .github { background: #333; }
    </style>
</head>
<body>
    <div class="login-container">
        <h1>Login</h1>
        
        <!-- Login clássico -->
        <form th:action="@{/login}" method="post">
            <input type="text" name="username" placeholder="Nome de usuário">
            <input type="password" name="password" placeholder="Senha">
            <button type="submit">Entrar</button>
        </form>
        
        <hr>
        
        <!-- Login OAuth2 -->
        <div class="oauth-buttons">
            <p>Ou conecte-se com:</p>
            <a href="/oauth2/authorization/google" class="oauth-btn google">
                🔵 Google
            </a>
            <a href="/oauth2/authorization/github" class="oauth-btn github">
                ⚫ GitHub
            </a>
        </div>
    </div>
</body>
</html>

---

4. Recuperar as Informações do Usuário

Em um Controller

@Controller
public class ProfileController {

    @GetMapping("/dashboard")
    public String dashboard(
            @AuthenticationPrincipal OAuth2User oauth2User,
            Model model) {
        
        if (oauth2User != null) {
            model.addAttribute("name", oauth2User.getAttribute("name"));
            model.addAttribute("email", oauth2User.getAttribute("email"));
            model.addAttribute("picture", oauth2User.getAttribute("picture"));
            model.addAttribute("attributes", oauth2User.getAttributes());
        }
        
        return "dashboard";
    }
}

Atributos por Provedor

Google

oauth2User.getAttribute("sub");       // ID único
oauth2User.getAttribute("name");      // Nome completo
oauth2User.getAttribute("email");     // Email
oauth2User.getAttribute("picture");   // URL da foto

GitHub

oauth2User.getAttribute("id");        // ID único
oauth2User.getAttribute("login");     // Nome de usuário
oauth2User.getAttribute("name");      // Nome completo
oauth2User.getAttribute("email");     // Email (pode ser null)
oauth2User.getAttribute("avatar_url"); // URL do avatar

---

5. Vincular OAuth2 aos Seus Usuários

Estratégia

Entidade OAuth2Connection

@Entity
@Table(name = "oauth2_connections")
@Data
@NoArgsConstructor
public class OAuth2Connection {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    @ManyToOne
    @JoinColumn(name = "user_id", nullable = false)
    private User user;

    @Column(nullable = false)
    private String provider;  // google, github

    @Column(nullable = false)
    private String providerUserId;  // ID no provider

    @Column(nullable = false)
    private LocalDateTime connectedAt = LocalDateTime.now();
}

CustomOAuth2UserService

@Service
@RequiredArgsConstructor
public class CustomOAuth2UserService extends DefaultOAuth2UserService {

    private final UserRepository userRepository;
    private final OAuth2ConnectionRepository connectionRepository;

    @Override
    @Transactional
    public OAuth2User loadUser(OAuth2UserRequest userRequest) throws OAuth2AuthenticationException {
        OAuth2User oauth2User = super.loadUser(userRequest);

        String provider = userRequest.getClientRegistration().getRegistrationId();
        String providerUserId = getProviderUserId(oauth2User, provider);
        String email = oauth2User.getAttribute("email");
        String name = oauth2User.getAttribute("name");

        // Buscar uma conexão existente
        Optional<OAuth2Connection> existingConnection = connectionRepository
            .findByProviderAndProviderUserId(provider, providerUserId);

        User user;
        if (existingConnection.isPresent()) {
            user = existingConnection.get().getUser();
        } else if (email != null && userRepository.existsByEmail(email)) {
            // Vincular a uma conta existente pelo email
            user = userRepository.findByEmail(email).orElseThrow();
            createConnection(user, provider, providerUserId);
        } else {
            // Criar uma nova conta
            user = createNewUser(email, name);
            createConnection(user, provider, providerUserId);
        }

        return new CustomOAuth2User(oauth2User, user);
    }

    private String getProviderUserId(OAuth2User oauth2User, String provider) {
        return switch (provider) {
            case "google" -> oauth2User.getAttribute("sub");
            case "github" -> String.valueOf(oauth2User.getAttribute("id"));
            default -> throw new OAuth2AuthenticationException("Provider não suportado");
        };
    }

    private User createNewUser(String email, String name) {
        User user = new User();
        user.setEmail(email);
        user.setUsername(email); // Ou gerar um username
        user.setPassword("");    // Sem senha para OAuth2
        user.setEnabled(true);
        // Adicionar papel padrão
        return userRepository.save(user);
    }

    private void createConnection(User user, String provider, String providerUserId) {
        OAuth2Connection connection = new OAuth2Connection();
        connection.setUser(user);
        connection.setProvider(provider);
        connection.setProviderUserId(providerUserId);
        connectionRepository.save(connection);
    }
}

CustomOAuth2User

public class CustomOAuth2User implements OAuth2User {

    private final OAuth2User oauth2User;
    private final User user;

    public CustomOAuth2User(OAuth2User oauth2User, User user) {
        this.oauth2User = oauth2User;
        this.user = user;
    }

    @Override
    public Map<String, Object> getAttributes() {
        return oauth2User.getAttributes();
    }

    @Override
    public Collection<? extends GrantedAuthority> getAuthorities() {
        return user.getRoles().stream()
            .map(role -> new SimpleGrantedAuthority(role.getName()))
            .collect(Collectors.toList());
    }

    @Override
    public String getName() {
        return user.getUsername();
    }

    public User getUser() {
        return user;
    }
}

Configuração com Serviço Customizado

@Configuration
@EnableWebSecurity
@RequiredArgsConstructor
public class SecurityConfig {

    private final CustomOAuth2UserService customOAuth2UserService;

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        return http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/", "/login", "/error").permitAll()
                .anyRequest().authenticated()
            )
            .oauth2Login(oauth -> oauth
                .loginPage("/login")
                .userInfoEndpoint(userInfo -> userInfo
                    .userService(customOAuth2UserService)
                )
                .defaultSuccessUrl("/dashboard")
            )
            .build();
    }
}

---

6. Combinar OAuth2 + Form Login

@Bean
public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
    return http
        .authorizeHttpRequests(auth -> auth
            .requestMatchers("/", "/login", "/register", "/error").permitAll()
            .anyRequest().authenticated()
        )
        // Login por formulário
        .formLogin(form -> form
            .loginPage("/login")
            .defaultSuccessUrl("/dashboard")
            .permitAll()
        )
        // Login OAuth2
        .oauth2Login(oauth -> oauth
            .loginPage("/login")
            .userInfoEndpoint(userInfo -> userInfo
                .userService(customOAuth2UserService)
            )
            .defaultSuccessUrl("/dashboard")
        )
        .logout(logout -> logout.permitAll())
        .build();
}

---

7. OAuth2 para API REST (JWT + OAuth2)

Fluxo Híbrido

Endpoint para Troca de Token

@RestController
@RequestMapping("/api/auth")
@RequiredArgsConstructor
public class OAuth2TokenController {

    private final GoogleIdTokenVerifier verifier;
    private final UserService userService;
    private final JwtService jwtService;

    @PostMapping("/google")
    public ResponseEntity<AuthResponse> googleAuth(@RequestBody GoogleAuthRequest request) {
        try {
            // Validar o token do Google
            GoogleIdToken idToken = verifier.verify(request.getIdToken());
            if (idToken == null) {
                return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build();
            }

            GoogleIdToken.Payload payload = idToken.getPayload();
            String email = payload.getEmail();
            String name = (String) payload.get("name");
            String pictureUrl = (String) payload.get("picture");

            // Criar ou buscar o usuário
            User user = userService.findOrCreateGoogleUser(email, name, pictureUrl);

            // Gerar JWT
            UserDetails userDetails = new CustomUserDetails(user);
            String accessToken = jwtService.generateToken(userDetails);
            String refreshToken = jwtService.generateRefreshToken(userDetails);

            return ResponseEntity.ok(AuthResponse.builder()
                .accessToken(accessToken)
                .refreshToken(refreshToken)
                .username(user.getUsername())
                .build());

        } catch (Exception e) {
            return ResponseEntity.status(HttpStatus.UNAUTHORIZED).build();
        }
    }
}

---

8. Resumo

Conceitos-Chave

Termo	Descrição
OAuth2	Protocolo de autorização
Authorization Code	Fluxo para apps web
Access Token	Acesso aos recursos
ID Token	Identidade do usuário (OpenID Connect)

Configuração Mínima

spring.security.oauth2.client.registration.google.client-id=XXX
spring.security.oauth2.client.registration.google.client-secret=YYY

Links de Login

/oauth2/authorization/google  → Login Google
/oauth2/authorization/github  → Login GitHub

---

🎯 Próximo Passo

Agora que você domina a autenticação, vamos avançar para funcionalidades de segurança avançada (CSRF, CORS, @PreAuthorize).

➡️ Capítulo 5: Segurança Avançada

---

⬅️ Voltar ao Módulo 8