3. Spring Security OAuth2.0 集成：基于 Spring Boot 3.x 搭建授权服务器与资源服务器核心配置

在微服务架构中，授权服务器（Authorization Server）与资源服务器（Resource Server）是 OAuth2.0 协议的两大核心角色。Spring Boot 3.x 基于 Spring Security 6.x 重构了 OAuth2 支持，移除了已废弃的 spring-security-oauth2 模块，全面转向 spring-security-oauth2-authorization-server。本章将演示如何从零搭建这两个核心组件，并完成令牌签发与验证的闭环。

3.1 架构概览：授权服务器与资源服务器的协作关系

在典型的 OAuth2.0 流程中，授权服务器负责客户端认证、用户授权与令牌发放；资源服务器负责验证令牌并保护 API 端点。两者通过共享的令牌签名密钥或远程验证端点建立信任。

3.2 搭建授权服务器（Authorization Server）

Spring Boot 3.x 使用 spring-security-oauth2-authorization-server 作为授权服务器的官方实现。以下为核心配置步骤。

3.2.1 添加 Maven 依赖

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-oauth2-authorization-server</artifactId>
    <version>1.1.0</version>
</dependency>

3.2.2 授权服务器配置类

@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig {

    @Bean
    public RegisteredClientRepository registeredClientRepository() {
        RegisteredClient registeredClient = RegisteredClient.withId("payment-client")
                .clientId("payment-app")
                .clientSecret("{noop}secret-key-123")
                .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
                .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
                .authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN)
                .redirectUri("http://localhost:8081/login/oauth2/code/payment")
                .scope("read:orders")
                .scope("write:orders")
                .tokenSettings(TokenSettings.builder()
                        .accessTokenTimeToLive(Duration.ofMinutes(30))
                        .refreshTokenTimeToLive(Duration.ofDays(1))
                        .build())
                .build();

        return new InMemoryRegisteredClientRepository(registeredClient);
    }

    @Bean
    public JWKSource<SecurityContext> jwkSource() {
        RSAKey rsaKey = Jwks.generateRsaKey();
        JWKSet jwkSet = new JWKSet(rsaKey);
        return (jwkSelector, securityContext) -> jwkSelector.select(jwkSet);
    }

    @Bean
    public ProviderSettings providerSettings() {
        return ProviderSettings.builder()
                .issuer("http://auth-server:9000")
                .build();
    }
}

3.2.3 生成 RSA 密钥工具类

public final class Jwks {

    private Jwks() {}

    public static RSAKey generateRsaKey() {
        KeyPair keyPair = KeyGenerator.generateRsaKey();
        RSAPublicKey publicKey = (RSAPublicKey) keyPair.getPublic();
        RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate();
        return new RSAKey.Builder(publicKey)
                .privateKey(privateKey)
                .keyID(UUID.randomUUID().toString())
                .build();
    }

    static class KeyGenerator {
        static KeyPair generateRsaKey() {
            KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
            keyPairGenerator.initialize(2048);
            return keyPairGenerator.generateKeyPair();
        }
    }
}

3.3 搭建资源服务器（Resource Server）

资源服务器负责验证 JWT 令牌的签名、有效期和作用域，并据此控制 API 访问权限。

3.3.1 添加 Maven 依赖

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-oauth2-resource-server</artifactId>
</dependency>

3.3.2 资源服务器配置类

@Configuration
@EnableWebSecurity
public class ResourceServerConfig {

    @Bean
    public SecurityFilterChain resourceServerFilterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authorize -> authorize
                .requestMatchers("/api/public/**").permitAll()
                .requestMatchers("/api/orders/**").hasAuthority("SCOPE_read:orders")
                .anyRequest().authenticated()
            )
            .oauth2ResourceServer(oauth2 -> oauth2
                .jwt(jwt -> jwt
                    .decoder(jwtDecoder())
                )
            );
        return http.build();
    }

    @Bean
    public JwtDecoder jwtDecoder() {
        return NimbusJwtDecoder
                .withJwkSetUri("http://auth-server:9000/oauth2/jwks")
                .build();
    }
}

3.3.3 application.yml 配置

spring:
  security:
    oauth2:
      resourceserver:
        jwt:
          issuer-uri: http://auth-server:9000
          jwk-set-uri: http://auth-server:9000/oauth2/jwks

server:
  port: 8081

3.4 令牌验证机制对比

3.5 作用域（Scope）与权限控制

OAuth2.0 的作用域是资源服务器进行细粒度授权的基础。在支付订单场景中，建议按操作类型划分作用域：

• read:orders — 查询订单状态、历史记录
• write:orders — 创建新订单、修改订单信息
• refund:orders — 执行退款操作（高风险，需额外审批）
• admin:orders — 管理级操作，如订单删除、费率调整

@GetMapping("/api/orders/{id}")
@PreAuthorize("hasAuthority('SCOPE_read:orders')")
public Order getOrder(@PathVariable String id) {
    return orderService.findById(id);
}

@PostMapping("/api/orders")
@PreAuthorize("hasAuthority('SCOPE_write:orders')")
public Order createOrder(@RequestBody OrderRequest request) {
    return orderService.create(request);
}

@PostMapping("/api/orders/{id}/refund")
@PreAuthorize("hasAuthority('SCOPE_refund:orders')")
public RefundResult refundOrder(@PathVariable String id) {
    return orderService.refund(id);
}

3.6 令牌端点与授权流程

授权服务器启动后，默认暴露以下核心端点：

3.7 安全加固要点

• 强制 HTTPS：所有令牌传输必须通过 TLS 1.2+ 加密，防止令牌在传输中被截获。
• 客户端认证强化：使用 mTLS（双向 TLS）替代简单的 Client Secret，尤其适用于服务间通信。
• 令牌绑定：将 Access Token 与客户端 IP、User-Agent 或设备指纹绑定，防止令牌被盗用后跨设备使用。
• 刷新令牌轮换：每次使用刷新令牌后，签发新的刷新令牌并废弃旧令牌，降低长期令牌泄露风险。
• 作用域最小化：每个客户端只申请业务所需的最小作用域集合，避免过度授权。

3.8 完整配置清单

以下为授权服务器与资源服务器的关键配置项速查表，便于快速搭建和排错：