默认配置

OAuth2AuthorizationServerConfiguration是为 OAuth2 授权服务器提供最低默认配置的。@Configuration

OAuth2AuthorizationServerConfiguration使用 OAuth2AuthorizationServerConfigurer 应用默认配置，并注册一个由支持 OAuth2 授权服务器的所有基础结构组件组成的组件。SecurityFilterChain@Bean

OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(HttpSecurity)是一种方便 （） 实用工具方法，用于将默认 OAuth2 安全配置应用于 。staticHttpSecurity

OAuth2 授权服务器配置了以下默认协议终结点：SecurityFilterChain@Bean

仅当注册了 a 时，才会配置 JWK 集端点。JWKSource<SecurityContext>@Bean

以下示例演示如何使用应用最小默认配置：OAuth2AuthorizationServerConfiguration

@Configuration
@Import(OAuth2AuthorizationServerConfiguration.class)
public class AuthorizationServerConfig {

	@Bean
	public RegisteredClientRepository registeredClientRepository() {
		List<RegisteredClient> registrations = ...
		return new InMemoryRegisteredClientRepository(registrations);
	}

	@Bean
	public JWKSource<SecurityContext> jwkSource() {
		RSAKey rsaKey = ...
		JWKSet jwkSet = new JWKSet(rsaKey);
		return (jwkSelector, securityContext) -> jwkSelector.select(jwkSet);
	}

}
authorization_code授权要求对资源所有者进行身份验证。因此，除了默认的 OAuth2 安全配置之外，还必须配置用户身份验证机制。

OpenID Connect 1.0 在默认配置中处于禁用状态。以下示例演示如何通过初始化 OpenID Connect 1.0 来启用：OidcConfigurer

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
	OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(http);

	http.getConfigurer(OAuth2AuthorizationServerConfigurer.class)
		.oidc(Customizer.withDefaults());	// Initialize `OidcConfigurer`

	return http.build();
}

除了默认协议端点外，OAuth2 授权服务器还配置了以下 OpenID Connect 1.0 协议端点：SecurityFilterChain@Bean

默认情况下，OpenID Connect 1.0 客户端注册端点处于禁用状态，因为许多部署不需要动态客户端注册。
OAuth2AuthorizationServerConfiguration.jwtDecoder(JWKSource<SecurityContext>)是一种方便 （） 实用工具方法，可用于注册 ，这是 OpenID Connect 1.0 UserInfo 端点和 OpenID Connect 1.0 客户端注册端点所必需的。staticJwtDecoder@Bean

以下示例演示如何注册：JwtDecoder@Bean

@Bean
public JwtDecoder jwtDecoder(JWKSource<SecurityContext> jwkSource) {
	return OAuth2AuthorizationServerConfiguration.jwtDecoder(jwkSource);
}

其主要目的是提供一种方便的方法来应用 OAuth2 授权服务器的最小默认配置。但是，在大多数情况下，需要自定义配置。OAuth2AuthorizationServerConfiguration

OAuth2AuthorizationServerConfiguration.applyDefaultSecurity(HttpSecurity)是一种方便 （） 实用工具方法，用于将默认 OAuth2 安全配置应用于 。staticHttpSecurity
仅当注册了 a 时，才会配置 JWK 集端点。JWKSource<SecurityContext>@Bean
authorization_code授权要求对资源所有者进行身份验证。因此，除了默认的 OAuth2 安全配置之外，还必须配置用户身份验证机制。
默认情况下，OpenID Connect 1.0 客户端注册端点处于禁用状态，因为许多部署不需要动态客户端注册。
OAuth2AuthorizationServerConfiguration.jwtDecoder(JWKSource<SecurityContext>)是一种方便 （） 实用工具方法，可用于注册 ，这是 OpenID Connect 1.0 UserInfo 端点和 OpenID Connect 1.0 客户端注册端点所必需的。staticJwtDecoder@Bean

自定义配置

OAuth2AuthorizationServerConfigurer提供完全自定义 OAuth2 授权服务器的安全配置的功能。 它允许您指定要使用的核心组件 - 例如，RegisteredClientRepository、OAuth2AuthorizationService、OAuth2TokenGenerator 等。 此外，它还允许您自定义协议端点的请求处理逻辑，例如授权端点、设备授权端点、设备验证端点、令牌端点、令牌自检端点等。

OAuth2AuthorizationServerConfigurer提供以下配置选项：

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
	OAuth2AuthorizationServerConfigurer authorizationServerConfigurer =
		new OAuth2AuthorizationServerConfigurer();
	http.apply(authorizationServerConfigurer);

	authorizationServerConfigurer
		.registeredClientRepository(registeredClientRepository) (1)
		.authorizationService(authorizationService) (2)
		.authorizationConsentService(authorizationConsentService)   (3)
		.authorizationServerSettings(authorizationServerSettings) (4)
		.tokenGenerator(tokenGenerator) (5)
		.clientAuthentication(clientAuthentication -> { })  (6)
		.authorizationEndpoint(authorizationEndpoint -> { })    (7)
		.deviceAuthorizationEndpoint(deviceAuthorizationEndpoint -> { })    (8)
		.deviceVerificationEndpoint(deviceVerificationEndpoint -> { })  (9)
		.tokenEndpoint(tokenEndpoint -> { })    (10)
		.tokenIntrospectionEndpoint(tokenIntrospectionEndpoint -> { })  (11)
		.tokenRevocationEndpoint(tokenRevocationEndpoint -> { })    (12)
		.authorizationServerMetadataEndpoint(authorizationServerMetadataEndpoint -> { })    (13)
		.oidc(oidc -> oidc
			.providerConfigurationEndpoint(providerConfigurationEndpoint -> { })    (14)
			.logoutEndpoint(logoutEndpoint -> { })  (15)
			.userInfoEndpoint(userInfoEndpoint -> { })  (16)
			.clientRegistrationEndpoint(clientRegistrationEndpoint -> { })  (17)
		);

	return http.build();
}
1 registeredClientRepository()：用于管理新客户端和现有客户端的 RegisteredClientRepository （REQUIRED）。
2 authorizationService()：用于管理新授权和现有授权的 OAuth2AuthorizationService。
3 authorizationConsentService()：用于管理新的和现有的授权许可的 OAuth2AuthorizationConsentService。
4 authorizationServerSettings()：用于自定义 OAuth2 授权服务器配置设置的 AuthorizationServerSettings （REQUIRED）。
5 tokenGenerator()：OAuth2TokenGenerator，用于生成 OAuth2 授权服务器支持的令牌。
6 clientAuthentication()：OAuth2 客户端身份验证的配置程序。
7 authorizationEndpoint()：OAuth2 授权端点的配置程序。
8 deviceAuthorizationEndpoint()：OAuth2 设备授权端点的配置者。
9 deviceVerificationEndpoint()：OAuth2 设备验证端点的配置程序。
10 tokenEndpoint()：OAuth2 令牌终端节点的配置程序。
11 tokenIntrospectionEndpoint()：OAuth2 令牌侦测端点的配置者。
12 tokenRevocationEndpoint()：OAuth2 令牌吊销终结点的配置者。
13 authorizationServerMetadataEndpoint()：OAuth2 授权服务器元数据端点的配置程序。
14 providerConfigurationEndpoint()：OpenID Connect 1.0 提供程序配置端点的配置程序。
15 logoutEndpoint()：OpenID Connect 1.0 注销端点的配置程序。
16 userInfoEndpoint()：OpenID Connect 1.0 UserInfo 端点的配置程序。
17 clientRegistrationEndpoint()：OpenID Connect 1.0 客户端注册端点的配置程序。
1 registeredClientRepository()：用于管理新客户端和现有客户端的 RegisteredClientRepository （REQUIRED）。
2 authorizationService()：用于管理新授权和现有授权的 OAuth2AuthorizationService。
3 authorizationConsentService()：用于管理新的和现有的授权许可的 OAuth2AuthorizationConsentService。
4 authorizationServerSettings()：用于自定义 OAuth2 授权服务器配置设置的 AuthorizationServerSettings （REQUIRED）。
5 tokenGenerator()：OAuth2TokenGenerator，用于生成 OAuth2 授权服务器支持的令牌。
6 clientAuthentication()：OAuth2 客户端身份验证的配置程序。
7 authorizationEndpoint()：OAuth2 授权端点的配置程序。
8 deviceAuthorizationEndpoint()：OAuth2 设备授权端点的配置者。
9 deviceVerificationEndpoint()：OAuth2 设备验证端点的配置程序。
10 tokenEndpoint()：OAuth2 令牌终端节点的配置程序。
11 tokenIntrospectionEndpoint()：OAuth2 令牌侦测端点的配置者。
12 tokenRevocationEndpoint()：OAuth2 令牌吊销终结点的配置者。
13 authorizationServerMetadataEndpoint()：OAuth2 授权服务器元数据端点的配置程序。
14 providerConfigurationEndpoint()：OpenID Connect 1.0 提供程序配置端点的配置程序。
15 logoutEndpoint()：OpenID Connect 1.0 注销端点的配置程序。
16 userInfoEndpoint()：OpenID Connect 1.0 UserInfo 端点的配置程序。
17 clientRegistrationEndpoint()：OpenID Connect 1.0 客户端注册端点的配置程序。

配置授权服务器设置

AuthorizationServerSettings包含 OAuth2 授权服务器的配置设置。 它指定协议终结点以及颁发者标识符。 协议终结点的默认值如下：URIURI

public final class AuthorizationServerSettings extends AbstractSettings {

	...

	public static Builder builder() {
		return new Builder()
			.authorizationEndpoint("/oauth2/authorize")
			.deviceAuthorizationEndpoint("/oauth2/device_authorization")
			.deviceVerificationEndpoint("/oauth2/device_verification")
			.tokenEndpoint("/oauth2/token")
			.tokenIntrospectionEndpoint("/oauth2/introspect")
			.tokenRevocationEndpoint("/oauth2/revoke")
			.jwkSetEndpoint("/oauth2/jwks")
			.oidcLogoutEndpoint("/connect/logout")
			.oidcUserInfoEndpoint("/userinfo")
			.oidcClientRegistrationEndpoint("/connect/register");
	}

	...

}
AuthorizationServerSettings是必需的组件。
@Import（OAuth2AuthorizationServerConfiguration.class） 会自动注册 ，如果尚未提供。AuthorizationServerSettings@Bean

以下示例演示如何自定义配置设置并注册：AuthorizationServerSettings@Bean

@Bean
public AuthorizationServerSettings authorizationServerSettings() {
	return AuthorizationServerSettings.builder()
		.issuer("https://example.com")
		.authorizationEndpoint("/oauth2/v1/authorize")
		.deviceAuthorizationEndpoint("/oauth2/v1/device_authorization")
		.deviceVerificationEndpoint("/oauth2/v1/device_verification")
		.tokenEndpoint("/oauth2/v1/token")
		.tokenIntrospectionEndpoint("/oauth2/v1/introspect")
		.tokenRevocationEndpoint("/oauth2/v1/revoke")
		.jwkSetEndpoint("/oauth2/v1/jwks")
		.oidcLogoutEndpoint("/connect/v1/logout")
		.oidcUserInfoEndpoint("/connect/v1/userinfo")
		.oidcClientRegistrationEndpoint("/connect/v1/register")
		.build();
}

是一个上下文对象，用于保存授权服务器运行时环境的信息。 它提供对 和 “当前” 颁发者标识符的访问。AuthorizationServerContextAuthorizationServerSettings

如果未在 中配置颁发者标识符，则从当前请求中解析该标识符。AuthorizationServerSettings.builder().issuer(String)
可通过 访问，该 使用 .AuthorizationServerContextAuthorizationServerContextHolderThreadLocal
AuthorizationServerSettings是必需的组件。
@Import（OAuth2AuthorizationServerConfiguration.class） 会自动注册 ，如果尚未提供。AuthorizationServerSettings@Bean
如果未在 中配置颁发者标识符，则从当前请求中解析该标识符。AuthorizationServerSettings.builder().issuer(String)
可通过 访问，该 使用 .AuthorizationServerContextAuthorizationServerContextHolderThreadLocal

配置客户端身份验证

OAuth2ClientAuthenticationConfigurer提供自定义 OAuth2 客户端身份验证的功能。 它定义扩展点，使你能够自定义客户端身份验证请求的预处理、主处理和后处理逻辑。

OAuth2ClientAuthenticationConfigurer提供以下配置选项：

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
	OAuth2AuthorizationServerConfigurer authorizationServerConfigurer =
		new OAuth2AuthorizationServerConfigurer();
	http.apply(authorizationServerConfigurer);

	authorizationServerConfigurer
		.clientAuthentication(clientAuthentication ->
			clientAuthentication
				.authenticationConverter(authenticationConverter)   (1)
				.authenticationConverters(authenticationConvertersConsumer) (2)
				.authenticationProvider(authenticationProvider) (3)
				.authenticationProviders(authenticationProvidersConsumer)   (4)
				.authenticationSuccessHandler(authenticationSuccessHandler) (5)
				.errorResponseHandler(errorResponseHandler) (6)
		);

	return http.build();
}
1 authenticationConverter()：将尝试从中提取客户端凭据时使用的（预处理器）添加到 的实例中。AuthenticationConverterHttpServletRequestOAuth2ClientAuthenticationToken
2 authenticationConverters()：设置提供对默认和（可选）添加的访问权限，允许添加、删除或自定义特定 .ConsumerListAuthenticationConverterAuthenticationConverter
3 authenticationProvider()：添加用于验证 .AuthenticationProviderOAuth2ClientAuthenticationToken
4 authenticationProviders()：设置提供对默认和（可选）添加的访问权限，允许添加、删除或自定义特定 .ConsumerListAuthenticationProviderAuthenticationProvider
5 authenticationSuccessHandler()：（后处理器）用于处理成功的客户端身份验证并将 关联到 .AuthenticationSuccessHandlerOAuth2ClientAuthenticationTokenSecurityContext
6 errorResponseHandler()：（后处理器）用于处理失败的客户端身份验证并返回 OAuth2Error 响应。AuthenticationFailureHandler

OAuth2ClientAuthenticationConfigurer配置并将其注册到 OAuth2 授权服务器。 是处理客户端身份验证请求的。OAuth2ClientAuthenticationFilterSecurityFilterChain@BeanOAuth2ClientAuthenticationFilterFilter

默认情况下，OAuth2 令牌终结点、OAuth2 令牌自检终结点和 OAuth2 令牌吊销终结点需要客户端身份验证。 支持的客户端身份验证方法包括 、 、 、 、 和 （公共客户端）。client_secret_basicclient_secret_postprivate_key_jwtclient_secret_jwttls_client_authself_signed_tls_client_authnone

OAuth2ClientAuthenticationFilter配置了以下默认值：

  • AuthenticationConverter— A 由 、 、 、 和 组成。DelegatingAuthenticationConverterJwtClientAssertionAuthenticationConverterX509ClientCertificateAuthenticationConverterClientSecretBasicAuthenticationConverterClientSecretPostAuthenticationConverterPublicClientAuthenticationConverter

  • AuthenticationManager— 由 、 、 和 组成的 。AuthenticationManagerJwtClientAssertionAuthenticationProviderX509ClientCertificateAuthenticationProviderClientSecretAuthenticationProviderPublicClientAuthenticationProvider

  • AuthenticationSuccessHandler— 将 “authenticated” （current ） 与 .OAuth2ClientAuthenticationTokenAuthenticationSecurityContext

  • AuthenticationFailureHandler— 使用关联的内部实现返回 OAuth2 错误响应。OAuth2ErrorOAuth2AuthenticationException

自定义 Jwt 客户端断言验证

JwtClientAssertionDecoderFactory.DEFAULT_JWT_VALIDATOR_FACTORY是为指定对象提供 an 的默认工厂，用于验证客户端断言的 、 、 和 声明。OAuth2TokenValidator<Jwt>RegisteredClientisssubaudexpnbfJwt

JwtClientAssertionDecoderFactory通过向 提供 类型的自定义工厂来覆盖默认客户端断言验证的功能。JwtFunction<RegisteredClient, OAuth2TokenValidator<Jwt>>setJwtValidatorFactory()

JwtClientAssertionDecoderFactory是为指定对象提供 a 的默认值，用于在 OAuth2 客户端身份验证期间对持有者令牌进行身份验证。JwtDecoderFactoryJwtClientAssertionAuthenticationProviderJwtDecoderRegisteredClientJwt

自定义的常见用例是验证客户端断言中的其他声明。JwtClientAssertionDecoderFactoryJwt

以下示例演示如何使用自定义项进行配置，以验证客户端断言中的其他声明：JwtClientAssertionAuthenticationProviderJwtClientAssertionDecoderFactoryJwt

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
	OAuth2AuthorizationServerConfigurer authorizationServerConfigurer =
		new OAuth2AuthorizationServerConfigurer();
	http.apply(authorizationServerConfigurer);

	authorizationServerConfigurer
		.clientAuthentication(clientAuthentication ->
			clientAuthentication
				.authenticationProviders(configureJwtClientAssertionValidator())
		);

	return http.build();
}

private Consumer<List<AuthenticationProvider>> configureJwtClientAssertionValidator() {
	return (authenticationProviders) ->
		authenticationProviders.forEach((authenticationProvider) -> {
			if (authenticationProvider instanceof JwtClientAssertionAuthenticationProvider) {
				// Customize JwtClientAssertionDecoderFactory
				JwtClientAssertionDecoderFactory jwtDecoderFactory = new JwtClientAssertionDecoderFactory();
				Function<RegisteredClient, OAuth2TokenValidator<Jwt>> jwtValidatorFactory = (registeredClient) ->
					new DelegatingOAuth2TokenValidator<>(
						// Use default validators
						JwtClientAssertionDecoderFactory.DEFAULT_JWT_VALIDATOR_FACTORY.apply(registeredClient),
						// Add custom validator
						new JwtClaimValidator<>("claim", "value"::equals));
				jwtDecoderFactory.setJwtValidatorFactory(jwtValidatorFactory);

				((JwtClientAssertionAuthenticationProvider) authenticationProvider)
					.setJwtDecoderFactory(jwtDecoderFactory);
			}
		});
}

自定义互 TLS 客户端身份验证

X509ClientCertificateAuthenticationProvider用于对在 OAuth2 客户端身份验证期间使用或使用方法时接收的客户端链进行身份验证。 它还由“证书验证程序”组成，用于在 TLS 握手成功完成后验证客户端的内容。X509CertificateClientAuthenticationMethod.TLS_CLIENT_AUTHClientAuthenticationMethod.SELF_SIGNED_TLS_CLIENT_AUTHX509Certificate

PKI Mutual-TLS 方法

对于 PKI Mutual-TLS（） 方法，证书验证程序的默认实现会根据设置 来验证客户端的使用者可分辨名称。ClientAuthenticationMethod.TLS_CLIENT_AUTHX509CertificateRegisteredClient.getClientSettings.getX509CertificateSubjectDN()

如果需要验证客户端的其他属性（例如，使用者备用名称 （SAN） 条目），以下示例演示如何使用证书验证程序的自定义实现进行配置：X509CertificateX509ClientCertificateAuthenticationProvider

@Bean
public SecurityFilterChain authorizationServerSecurityFilterChain(HttpSecurity http) throws Exception {
	OAuth2AuthorizationServerConfigurer authorizationServerConfigurer =
			new OAuth2AuthorizationServerConfigurer();
	http.apply(authorizationServerConfigurer);

	authorizationServerConfigurer
			.clientAuthentication(clientAuthentication ->
					clientAuthentication
							.authenticationProviders(configureX509ClientCertificateVerifier())
			);

	return http.build();
}

private Consumer<List<AuthenticationProvider>> configureX509ClientCertificateVerifier() {
	return (authenticationProviders) ->
			authenticationProviders.forEach((authenticationProvider) -> {
				if (authenticationProvider instanceof X509ClientCertificateAuthenticationProvider) {
					Consumer<OAuth2ClientAuthenticationContext> certificateVerifier = (clientAuthenticationContext) -> {
						OAuth2ClientAuthenticationToken clientAuthentication = clientAuthenticationContext.getAuthentication();
						RegisteredClient registeredClient = clientAuthenticationContext.getRegisteredClient();
						X509Certificate[] clientCertificateChain = (X509Certificate[]) clientAuthentication.getCredentials();
						X509Certificate clientCertificate = clientCertificateChain[0];

						// TODO Verify Subject Alternative Name (SAN) entry

					};

					((X509ClientCertificateAuthenticationProvider) authenticationProvider)
							.setCertificateVerifier(certificateVerifier);
				}
			});
}

自签名证书互联 TLS 方法

对于自签名证书互通 TLS （） 方法，证书验证程序的默认实现将使用该设置检索客户端的 JSON Web 密钥集，并期望找到与 TLS 握手期间收到的客户端的匹配项。ClientAuthenticationMethod.SELF_SIGNED_TLS_CLIENT_AUTHRegisteredClient.getClientSettings.getJwkSetUrl()X509Certificate

该设置用于通过 JSON Web 密钥 （JWK） 集检索客户端的证书。 证书由集合中单个 JWK 的参数表示。RegisteredClient.getClientSettings.getJwkSetUrl()x5c

客户端证书绑定访问令牌

在令牌终结点使用互 TLS 客户端身份验证时，授权服务器能够将颁发的访问令牌绑定到客户端的 . 绑定是通过计算客户端的 SHA-256 指纹并将指纹与访问令牌相关联来完成的。 例如，JWT 访问令牌将在顶级（确认方法）声明中包含包含指纹的声明。X509CertificateX509Certificatex5t#S256X509Certificatecnf

将访问令牌绑定到客户端的令牌，可以在受保护的资源访问期间实现所有权证明机制。 例如，受保护的资源将获取在 Mutual-TLS 身份验证期间使用的客户端，然后验证证书指纹是否与与访问令牌关联的声明匹配。X509CertificateX509Certificatex5t#S256

以下示例演示如何为客户端启用证书绑定访问令牌：

RegisteredClient mtlsClient = RegisteredClient.withId(UUID.randomUUID().toString())
		.clientId("mtls-client")
		.clientAuthenticationMethod(ClientAuthenticationMethod.TLS_CLIENT_AUTH)
		.authorizationGrantType(AuthorizationGrantType.CLIENT_CREDENTIALS)
		.scope("scope-a")
		.clientSettings(
				ClientSettings.builder()
						.x509CertificateSubjectDN("CN=mtls-client,OU=Spring Samples,O=Spring,C=US")
						.build()
		)
		.tokenSettings(
				TokenSettings.builder()
						.x509CertificateBoundAccessTokens(true)
						.build()
		)
		.build();
1 authenticationConverter()：将尝试从中提取客户端凭据时使用的（预处理器）添加到 的实例中。AuthenticationConverterHttpServletRequestOAuth2ClientAuthenticationToken
2 authenticationConverters()：设置提供对默认和（可选）添加的访问权限，允许添加、删除或自定义特定 .ConsumerListAuthenticationConverterAuthenticationConverter
3 authenticationProvider()：添加用于验证 .AuthenticationProviderOAuth2ClientAuthenticationToken
4 authenticationProviders()：设置提供对默认和（可选）添加的访问权限，允许添加、删除或自定义特定 .ConsumerListAuthenticationProviderAuthenticationProvider
5 authenticationSuccessHandler()：（后处理器）用于处理成功的客户端身份验证并将 关联到 .AuthenticationSuccessHandlerOAuth2ClientAuthenticationTokenSecurityContext
6 errorResponseHandler()：（后处理器）用于处理失败的客户端身份验证并返回 OAuth2Error 响应。AuthenticationFailureHandler
JwtClientAssertionDecoderFactory是为指定对象提供 a 的默认值，用于在 OAuth2 客户端身份验证期间对持有者令牌进行身份验证。JwtDecoderFactoryJwtClientAssertionAuthenticationProviderJwtDecoderRegisteredClientJwt
该设置用于通过 JSON Web 密钥 （JWK） 集检索客户端的证书。 证书由集合中单个 JWK 的参数表示。RegisteredClient.getClientSettings.getJwkSetUrl()x5c