3. Spring Security OAuth2.0 服务端搭建：授权服务器配置、客户端注册与令牌端点

本章将基于 Spring Security OAuth2 Authorization Server 框架，从零搭建一个生产级授权服务器。核心任务包括：配置授权服务器元数据、注册受信客户端、暴露令牌端点与授权端点，并确保与后续异步导出服务的无缝集成。

3.1 授权服务器核心组件与流程

授权服务器在 OAuth2.0 体系中扮演“认证与令牌发放中心”的角色。其核心流程包含三个关键步骤：客户端身份校验、用户授权确认、令牌签发与响应。

3.2 授权服务器配置（核心配置类）

使用 @Configuration + @EnableWebSecurity 注解声明配置类，通过 AuthorizationServerSecurityConfiguration 定制化授权服务器行为。以下为最小化配置模板：

@Configuration
@EnableWebSecurity
public class AuthorizationServerConfig {

    @Bean
    @Order(1)
    public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http)
            throws Exception {
        OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);
        http.getConfigurer(OAuth2AuthorizationServerConfigurer.class)
            .oidc(Customizer.withDefaults()); // 启用 OpenID Connect 1.0
        http.oauth2ResourceServer(OAuth2ResourceServerConfigurer::jwt);
        http.exceptionHandling(exceptions -> exceptions
            .authenticationEntryPoint(
                new BearerTokenAuthenticationEntryPoint()));
        return http.build();
    }

    @Bean
    @Order(2)
    public SecurityFilterChain defaultSecurityFilterChain(HttpSecurity http)
            throws Exception {
        http.authorizeHttpRequests(authorize -> authorize
                .anyRequest().authenticated())
            .formLogin(Customizer.withDefaults());
        return http.build();
    }
}

3.3 客户端注册（RegisteredClient）

客户端注册是授权服务器的“白名单”机制。每个调用方（如异步导出服务的前端或后端模块）必须预先注册，获得 client_id 和 client_secret。注册信息存储在 RegisteredClientRepository 中，支持内存、JDBC 或自定义实现。

以下为内存模式客户端注册示例：

@Bean
public RegisteredClientRepository registeredClientRepository() {
    RegisteredClient registeredClient = RegisteredClient.withId(UUID.randomUUID().toString())
        .clientId("async-export-service")
        .clientSecret("{noop}export-secret-2024")
        .clientAuthenticationMethod(ClientAuthenticationMethod.CLIENT_SECRET_BASIC)
        .authorizationGrantType(AuthorizationGrantType.AUTHORIZATION_CODE)
        .authorizationGrantType(AuthorizationGrantType.REFRESH_TOKEN)
        .redirectUri("http://localhost:8080/login/oauth2/code/export")
        .scope("export:read")
        .scope("export:write")
        .tokenSettings(TokenSettings.builder()
            .accessTokenTimeToLive(Duration.ofMinutes(30))
            .refreshTokenTimeToLive(Duration.ofDays(7))
            .build())
        .build();
    return new InMemoryRegisteredClientRepository(registeredClient);
}

3.4 令牌端点与授权端点

Spring Authorization Server 自动注册以下关键端点，无需手动编写 Controller：

令牌端点默认返回 JSON 格式响应，包含 access_token、token_type、expires_in、refresh_token 和 scope 字段。以下为成功响应的示例：

{
  "access_token": "eyJraWQiOiIx...",
  "token_type": "Bearer",
  "expires_in": 1799,
  "refresh_token": "eyJraWQiOiIy...",
  "scope": "export:read export:write"
}

3.5 令牌生成与签名配置

授权服务器使用 JWKSource 生成 RSA 密钥对，对 JWT 令牌进行签名。客户端可通过 /.well-known/oauth-authorization-server 端点获取公钥，用于验证令牌合法性。

@Bean
public JWKSource<SecurityContext> jwkSource() {
    RSAKey rsaKey = new RSAKey.Builder(
        new RSAPublicKey(...))  // 从 KeyStore 或生成器加载
        .privateKey(new RSAPrivateKey(...))
        .keyID(UUID.randomUUID().toString())
        .build();
    JWKSet jwkSet = new JWKSet(rsaKey);
    return new ImmutableJWKSet<>(jwkSet);
}

@Bean
public JwtDecoder jwtDecoder(JWKSource<SecurityContext> jwkSource) {
    return OAuth2AuthorizationServerConfiguration.jwtDecoder(jwkSource);
}

3.6 完整配置清单与验证步骤

搭建完成后，可通过以下步骤验证授权服务器是否正常工作：

1. 启动服务：访问 http://localhost:9000/.well-known/oauth-authorization-server，确认返回 JSON 元数据。
2. 获取授权码：浏览器访问 http://localhost:9000/oauth2/authorize?response_type=code&client_id=async-export-service&redirect_uri=http://localhost:8080/login/oauth2/code/export&scope=export:read，完成表单登录后重定向并携带 code 参数。
3. 换取令牌：使用 curl 或 Postman 向 /oauth2/token 发送 POST 请求，携带授权码和客户端凭证，验证返回的 access_token 是否为 JWT 格式。

curl -X POST http://localhost:9000/oauth2/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=authorization_code" \
  -d "code=授权码" \
  -d "redirect_uri=http://localhost:8080/login/oauth2/code/export" \
  -u "async-export-service:export-secret-2024"

3.7 常见配置陷阱与避坑指南